Privaatne port ei tõenda selle taga olevat tarkvara

See on mõistlik instinkt: kui ainult VPN jõuab SSH-kuulajani, on kokkupuude väike ja probleem on lahendatud. Kokkupuude ei võrdu aga terviklikkusega. Esimene pool on tõsi ja teine ei tulene sellest. Kättesaadavus kontrollib, kes tohib ühendust proovida; tarkvara terviklikkus kontrollib, mida kuulaja teeb, kui ta ühenduse saab. Värav kitsendab publikut ega ütle midagi selle taga oleva koodi kohta.

Privaatne port on väiksem uks, mitte teine lukk, ja see erinevus otsustab, mida te järgmisena kontrollite.

Kaks kontrolli, kaks küsimust

Võrgupiirang vähendab kokkupuudet. See jätab lubatud kasutajad ja iga kompromiteeritud kinnitatud kliendi võimeliseks mõjutatud teenuseni jõudma. Paketi parandamine taastab tarkvara ega kitsenda ka liiga laia võrguluha. Iga kontroll teeb oma tööd ja igaüks võib olla õige, kui teine puudub. Nende koos hindamine on viis, kuidas meeskond veenab end, et üks katab mõlemad, ja see on täpselt see viga, millest see artikkel räägib.

VPN-i lõpp-punkt on samuti tarkvara ja kannab sama kohustust. Selle teele lisamine toob kaasa oma hoolduskohustuse ega kõrvalda tarneahela vastutust millegi eest selle taga.

Mida XZ paljastus tegelikult näitas

2024. aasta märtsis avaldatud XZ/liblzma paljastus kirjeldas tagauks, mis võis mõjutatud tingimustel viia SSH-serveri kompromiteerimiseni. See oli tarkvara terviklikkuse probleem sama palju kui kokkupuute probleem, ja see ei olnud tõestus, et iga Linuxi paigaldus kannab haavatavat versiooni. Ulatus tuleneb mõjutatud versioonidest ja neid tarninud distributsioonidest, mitte operatsioonisüsteemi perekonna nimest.

See erinevus on vahe intsidendile reageerimise ja kuulujutu vahel ning seda tasub pedantselt käsitleda.

Pordi sulgemine ei ole taastamine

Kui kompromiteerimine võis juba toimuda, ei ole kättesaadavuse muutmine taastamine. Tagauks, mis käivitati, on oma võimaluse juba saanud; tulemüürireegel ei rända ajas tagasi. Järgige hosti ja kõigi paljastatud volituste puhul kinnitatud intsidendiprotsessi ning säilitage tõendid, mis on vajalikud kindlakstegemiseks, mis tegelikult käivitati. Taastamine teadaolevalt usaldusväärsetelt andmekandjatelt on tavaliselt selle vestluse osa.

Kasutage ka distributsiooni praegust kinnitatud teadet ja kõrvaldamisprotsessi ning lugege mõjutatud versioonide loendit, mitte pealkirja. Ajaloolise alandamiskäsu kopeerimine mitteseotud keskkonda on viis, kuidas parandusest saab uus kokkupuude.

Vaadake mõlemad eraldi üle

Esitage kaks küsimust nende enda sõnadega. Kes pääseb kuulajani ja kas see publik on täpselt see, kellele teenus on mõeldud? Milline tarkvara versioon on paigaldatud, kes allkirjastas artefakti ja kuidas organisatsioon saab halvast väljaandest teada enne, kui loeb sellest uudistes? Vastused kuuluvad erinevatesse dokumentidesse erinevate omanikega ja ükski omanik ei saa teise eest vastata.

Hallatud parkla jaoks on tarkvara inventuur kontroll, mis teeb teise küsimuse üldse vastatavaks. Ilma selleta muutub iga paljastus tähtajaga arheoloogiaprojektiks.

Värav kitsendab publikut. Terviklikkus otsustab, kas publikul on tähtsust.