Tulemüür portide vahel ei ole hosti piir

Veebileht vastab pordil 443, VPN vastab pordil 1194, tulemüür lubab täpselt neid kahte ja ülevaatus läbib. Miski selles järjestuses ei küsinud, mida veebitööline saab lugeda või milliseid faile üle kirjutada. Kompromiteeritud tööline ei vaja avatud porti, kui ta pääseb juhtimissoklile või kirjutatavale konfiguratsioonikataloogile. Piir on volitus ja kuulajad on ainult see osa, mida on lihtne näha.

Eraldi teenusenimi on silt; eraldi identiteet on turvaomadus.

Loendage töölise volitusi, mitte porte

Alustage käitusaja kasutajast, tema rühmadest, tema võimekustest ja tema failisüsteemi vaatest. Teenuskonto, mis juhtub kuuluma VPN-i rühma, saab lugeda võtmematerjali ilma ühegi avatud pordita. Kirjutatavad mountid on teine pool: üleslaadimised ja vahemälud peaksid asuma poliitikafailidest ja saladustest kaugel, ning asjatult jagatud kirjutatav kataloog nullib korrektse nimetamise. Kontrollige protsessi, mis toimingu teeks, sest privilegeeritud vanem ja mitteprivilegeeritud töölised ei jaga üht volitust.

See, et VPN-i võti on deemoni käivitamisel loetav, ei tähenda, et veebitööline seda vajab. Eraldage deemonit tehtav lugemine rakendusele antud juurdepääsust.

Soklid, mis annavad rohkem, kui paistavad

Mõned lõpp-punktid on administratiivsed API-d, mis on riietatud mõõdikuvooks. VPN-i haldusliides saab seansse muuta, kliente lahti ühendada ja olekut lugeda. Konteineri käitusaja sokkel on veel laiem: juurdepääs sellele on tegelikult hosti juhtimine, kaugele üle selle, mida veebirakendus vajab. Kumbki ei kuulu tavalise rakenduse mountide hulka ja kumbki ei ilmuta end kuulavate portide loendamisel.

Halduskuulaja sidumine kohaliku aadressiga on algus, mitte täielik piirang, sest iga sissepääsutee sellele aadressile loeb endiselt. Lubage ainult kavandatud allikaid ja liideseid.

Konteinerid jagavad üht tuuma

Konteinerid lisavad protsessi-, failisüsteemi- ja võrgupiirid ning jagavad hostiga üht tuuma. See teeb võimekuse valikud, hosti mountid ja deemonile juurdepääsu otsustavaks: hosti saladuste mountimine või privilegeeritud käitusaja juhtimise andmine kustutab piiri, mida konteineri silt vihjab. Eraldi VM-id annavad tõesti eraldi külalistuumad, samal ajal kui hüpervisor, administratiivsed identiteedid, salvestus ja varukoopiad jäävad jagatuks. Valige piir, mille konfiguratsioonil ja uuendustel on nimetatud omanik.

Keerukam korraldus, mida keegi ei hoolda, on halvem kui lihtne, mida tõesti üle vaadatakse.

Testige keeldumist, seejärel teenust

Kasutage kinnitatud kontrolle töölise tegelikus kontekstis, et kinnitada, et ta ei saa VPN-i poliitikat muuta, asjatuid saladusi lugeda ega haldusliidest puudutada. Edukas lugemine administraatorina ei testi selle keeldumise kohta midagi. Seejärel kontrollige veebilehte, tavalist lubatud VPN-i toimingut ja seda, mis juhtub mõlemaga taaskäivitamisel. Hoidke taastamistee, mis ei sõltu VPN-i parandamisest, et viga jääks parandatavaks.

Mõlemad rollid jagavad endiselt CPU-d, mälu, üleslingi mahtu ja hooldussündmusi. Need jagatud ressursid kuuluvad plaani ka siis, kui volituste piir on puhas.

Kirjutage üles, mida iga protsess teha saab, mis ebaõnnestub, kui see peatub, ja milline piir jääb jagatuks. Portide loend ei ole see üleskirjutus.