Võrdlusmõõdik märkis VPN-pordi? Kontrolli kontrolli ulatust

Sinu skanner märgib VPN-pordi, pilet sõnastab selle ümber avalikuks kuulajaks ja järgnev vaidlus käib selle üle, kas paljastus on tegelik. Leid ütleb harva seda, mida lugeja eeldab. See tsiteerib fikseeritud ulatusega võrdlusmõõdiku kontrolli ja pordi number on sellesse ulatusse vaid üks sisend.

Loe kontrolli enne, kui porti kaitsma hakkad. Otsusena loetav leid on tavaliselt ühele ressursile rakendatud predikaat.

Mida leiu rida tegelikult tsiteerib

Iga võrdlusmõõdiku leid kannab nelja asja, mida tasub eristada: dokument ja redaktsioon, kust see pärineb, ressurss, mida hinnati, predikaat, mis tulemuse käivitas, ja katvus, mille audit tegelikult saavutas. Meeskonnad tsiteerivad tavaliselt ainult ressurssi — turvagruppi või võrgu-ACL-i või hosti — ja siis vaidlevad pordi üle. Predikaat otsustab, kas sinu kuulaja üldse ulatusse kuulus. Ilma selleta vaidled numbri, mitte reegli üle.

Amazoni Security Hubi dokumentatsioon hoiab selle eristuse nähtavana ilma tasulise PDF-ita:EC2 kontrollide leht loetleb turvagruppide kontrolle piiramatu juurdepääsu kohta portidel 22 ja 3389 ning käsitleb võrgu-ACL-e eraldi ressursina, millel on omad tingimused. Samad haldusportid, erinev objekt, erinev test. See on detailsus, mille leid pärib.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Eralda avalik kuulaja haldusjuurdepääsust

Internetist UDP 1194 vastu võttev VPN-kuulaja ja SSH-teenus, mis on kättesaadav alles pärast lubamist, on erinevad paljastusteed. Kontroll, mis katab esimest, ei pruugi teise kohta midagi öelda, ja teist kattev kontroll võib esimest ignoreerida. Ühel läbitud tulemus ei ole väide teise kohta, ükskõik kui sarnased need kaks staatuskoosolekul ka ei kõla.

Käsitle iga teed ülevaates omaette reana.

Seejärel kontrolli, mida lüüs ise lubab. Tunneli vastuvõtmine ei ole sama mis haldusõiguste andmine lüüsil, ja kumbki neist ei võrdu lüüsi taga oleva serverini jõudmisega. Jaga küsimus selleks, kes saab ühenduda, kes saab hallata ja mida tunnel jõuab. Need kolm vastust tulevad erinevatest süsteemidest ja sulandatakse rutiinselt üheks lauseks, mille peale keegi tegutseda ei saa.

Ressurss otsustab, kas port on üldse ulatuses

Turvagrupi reegel, alamvõrgu ACL-i kirje ja hosti tulemüüri reegel võivad kõik liiklust lubada, kuid ainult üks neist võib olla objekt, mida kontroll hindab. Tõhus luba tähendab paralleelsete gruppide, mõlema aadressiperekonna ja nende ees oleva kõigi keelavate reeglite ühendamist. Grupitasandi kontrollis läbi kukkunud port võib siiski olla kättesaamatu, ja selle läbinud port võib olla sügavamal siiski blokeeritud.

Siin läheb teise keskkonna reeglite ümberistutamine valesti. Võrgu-ACL-id on olekuta ja neid hinnatakse järjekorras; turvagrupid on olekuga ja ainult lubavad. Ühest laenatud reeglimudel ei kirjelda teist, ja selle tõlkimine annab enesekindla vastuse vale objekti kohta.

Pane otsus kirja, et järgmine audit seda uuesti kasutaks

Kui ulatus on tõesti mitmetähenduslik, kirjuta üles kontrolli redaktsioon, ressursi identifikaator, tsiteeritud predikaat ja tõend, mis selle lahendas. Lisa, mille ja miks jätsid välja. Just see kirje võimaldab teisel ülevaatajal jõuda sama järelduseni ilma kogu võrdlusmõõdiku uuesti lugemiseta, ja see on ainus, mis personalivahetuse üle elab.

Märkus «VPN-port üle vaadatud» tagab, et vaidlus naaseb järgmisel kvartalil. Nimeta selle asemel hindaja, redaktsioon ja tõend.