VPN ataka erreferentzia batek markatuta? Egiaztatu kontrolaren irismena

Zure eskaneatzaileak VPN ataka markatzen du, tiketak entzule publiko gisa parafraseatzen du, eta ondorengo eztabaida esposizioa erreala den ala ez da. Aurkikuntzak gutxitan esaten du irakurleak uste duena. Irismen finkoa duen erreferentzia-kontrol bat aipatzen du, eta ataka-zenbakia irismen horretarako sarrera bat baino ez da.

Irakurri kontrola ataka defendatu aurretik. Epaia bezala irakurtzen den aurkikuntza baliabide bakar bati aplikatutako predikatu bat izan ohi da.

Zer aipatzen du benetan aurkikuntza-errenkadak

Erreferentzia-aurkikuntza bakoitzak bereizteko merezi duen lau gauza daramatza: nondik datorren dokumentua eta berrikuspena, ebaluatu zen baliabidea, emaitza abiarazi zuen predikatua, eta auditoriak benetan lortu zuen estaldura. Taldeek normalean baliabidea baino ez dute aipatzen — segurtasun-talde bat edo sare-ACL bat edo host bat — eta gero ataka dela eztabaidatzen dute. Predikatuak erabakitzen du zure entzulea irismenean zegoen ala ez. Hura gabe zenbaki bat eztabaidatzen duzu arau bat beharrean.

Amazon Security Hub-en dokumentazioak bereizketa hori ikusgai mantentzen du ordainpeko PDFik gabe:EC2 kontroleko orria22 eta 3389 ataketan sarbide mugagaberako segurtasun-taldeen egiaztapenak zerrendatzen ditu, eta sare-ACLak baldintza propioak dituen beste baliabide gisa hartzen ditu. Administrazio-ataka berak, objektu desberdina, proba desberdina. Hori da aurkikuntzak heredatzen duen xehetasun-maila.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Bereizi entzule publikoa administrazio-sarbidetik

Internetetik UDP 1194 onartzen duen VPN entzule bat eta onarpenaren ondoren soilik iristeko modukoa den SSH zerbitzu bat esposizio-bide desberdinak dira. Lehenengoa estaltzen duen egiaztapenak ez du ezer esaten bigarrenaz, eta bigarrena estaltzen duen egiaztapenak lehenengoa alde batera utz dezake. Batean gainditutako emaitza ez da bestearen inguruko adierazpena, biak oso antzekoak izan arren status-bileran.

Hartu bide bakoitza berrikuspenean bere errenkada gisa.

Ondoren egiaztatu zeri ematen dion baimena atebide berak. Tunel bat onartzea ez da atebidean administrazio-eskubideak ematearen berdina, eta bietako bat ere ez da haren atzeko zerbitzari batera iristearen berdina. Zatitu galdera: nork konekta dezake, nork administratu dezake, eta zer irits dezake tunelak. Hiru erantzun horiek sistema desberdinetatik datoz eta errutinaz fusionatzen dira inork jardun ezin duen esaldi batean.

Baliabideak erabakitzen du ataka irismenean dagoen ala ez

Segurtasun-taldeko arau batek, azpisareko ACL sarrera batek eta host suebakiko arau batek trafikoa onar dezakete, baina horietako bat soilik izan daiteke kontrolak ebaluatzen duen objektua. Baimen eraginkorrak talde paraleloak, bi helbide-familia eta haien aurrean dagoen ukatze-arau oro konbinatzea esan nahi du. Talde-mailako egiaztapenean huts egiten duen ataka bat iristezina izan daiteke oraindik, eta hura gainditzen duen ataka bat barruratuago blokeatuta egon daiteke.

Hemen okertzen da beste ingurune bateko arauak transplanteatzea. Sare-ACLak egoerarik gabeak dira eta ordenan ebaluatzen dira; segurtasun-taldeek egoera gordetzen dute eta soilik baimentzen dute. Batetik mailegatutako arau-ereduak ez du bestea deskribatzen, eta hura itzultzeak objektu okerraren inguruko erantzun segurua ematen du.

Erregistratu erabakia hurrengo auditoriak berrerabil dezan

Irismena benetan anbiguoa denean, idatzi kontrolaren berrikuspena, baliabidearen identifikatzailea, aipatutako predikatua eta hura konpondu zuen froga. Barneratu zer baztertu duzun eta zergatik. Erregistro horri esker, bigarren berrikusle batek ondorio berera irits daiteke erreferentzia osoa berrirakurri gabe, eta langileen txandakatzeak gainditzen dituen gauza bakarra da.

«VPN ataka berrikusita» dioen ohar batek bermatzen du eztabaida hurrengo hiruhilekoan itzuliko dela. Aipatu horren ordez ebaluatzailea, berrikuspena eta froga.