Vertailumittari merkkasi VPN-portin? Tarkista kontrollin laajuus

Skannerisi merkitsee VPN-portin, tiketti muotoilee sen julkiseksi kuuntelijaksi, ja seuraava väittely koskee sitä, onko altistuminen todellista. Löydös sanoo harvoin sen, mitä lukija olettaa. Se siteeraa kiinteän laajuuden vertailumittarikontrollia, ja porttinumero on vain yksi syöte tuohon laajuuteen.

Lue kontrolli ennen kuin puolustat porttia. Tuomioksi luettava löydös on yleensä predikaatti, jota on sovellettu yhteen resurssiin.

Mitä löydösrivi todella siteeraa

Jokainen vertailumittarin löydös kantaa neljä asiaa, jotka kannattaa erottaa: asiakirja ja revisio, joista se tuli, resurssi, joka arvioitiin, predikaatti, joka käynnisti tuloksen, ja kattavuus, jonka auditointi todella saavutti. Tiimit siteeraavat yleensä vain resurssia — tietoturvaryhmää tai verkko-ACL:ää tai isäntää — ja sitten väittelevät portista. Predikaatti ratkaisee, oliko kuuntelijasi ylipäätään laajuudessa. Ilman sitä väittelet numerosta säännön sijaan.

Amazonin Security Hubin dokumentaatio pitää tämän erottelun näkyvänä ilman maksullista PDF:ää:EC2-kontrollisivu luettelee tietoturvaryhmien tarkistukset rajoittamattomasta pääsystä porteilla 22 ja 3389 ja käsittelee verkko-ACL:iä eri resurssina, jolla on omat ehtonsa. Samat hallintaportit, eri objekti, eri testi. Sen tarkkuustason löydös perii.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Erota julkinen kuuntelija hallinnollisesta pääsystä

VPN-kuuntelija, joka vastaanottaa UDP 1194:n internetistä, ja SSH-palvelu, joka on saavutettavissa vasta hyväksynnän jälkeen, ovat eri altistumispolkuja. Ensimmäisen kattava tarkistus ei ehkä sano toisesta mitään, ja toisen kattava tarkistus voi jättää ensimmäisen huomiotta. Toisessa läpäisty tulos ei ole väite toisesta, kuinka samankaltaisilta kaksi kuulostavatkaan tilaisuuskokouksessa.

Käsittele jokaista polkua omana rivinään katsauksessa.

Varmista sitten, mitä yhdyskäytävä itse sallii. Tunnelin vastaanottaminen ei ole sama kuin hallinnollisten oikeuksien myöntäminen yhdyskäytävällä, eikä kumpikaan vastaa sen takana olevaan palvelimeen pääsemistä. Jaa kysymys siihen, kuka voi yhdistää, kuka voi hallita ja mitä tunneli voi saavuttaa. Nämä kolme vastausta tulevat eri järjestelmistä ja sulautetaan rutiininomaisesti yhdeksi lauseeksi, jonka perusteella kukaan ei voi toimia.

Resurssi ratkaisee, onko portti ylipäätään laajuudessa

Tietoturvaryhmän sääntö, aliverkon ACL-merkintä ja isännän palomuurisääntö voivat kaikki sallia liikennettä, mutta vain yksi niistä voi olla objekti, jota kontrolli arvioi. Tehokas salliminen tarkoittaa rinnakkaisten ryhmien, molempien osoiteperheiden ja niiden edessä olevien kieltosääntöjen yhdistämistä. Ryhmätason tarkistuksessa epäonnistuva portti voi silti olla tavoittamaton, ja sen läpäisevä portti voi silti olla estetty syvemmältä.

Tässä toisen ympäristön sääntöjen siirtäminen menee pieleen. Verkko-ACL:t ovat tilattomia ja ne arvioidaan järjestyksessä; tietoturvaryhmät ovat tilallisia ja vain sallivat. Toisesta lainattu sääntömalli ei kuvaa toista, ja sen kääntäminen tuottaa itsevarman vastauksen väärästä objektista.

Kirjaa päätös, jotta seuraava auditointi käyttää sitä uudelleen

Kun laajuus on todella moniselitteinen, kirjoita kontrollin revisio, resurssin tunniste, siteerattu predikaatti ja todiste, joka ratkaisi sen. Lisää, mitä suljit pois ja miksi. Juuri se kirjaus mahdollistaa toiselle arvioijalle saman johtopäätöksen ilman koko vertailumittarin uudelleenlukemista, ja se on ainoa asia, joka kestää henkilöstön vaihtumisen.

Muistiinpano «VPN-portti tarkistettu» takaa, että väittely palaa ensi neljänneksellä. Nimeä sen sijaan arvioija, revisio ja todiste.