VPN-poarte flagge troch in maatstêf? Kontrolearje it berik fan 'e kontrôle

Dyn skanner flagget de VPN-poarte, it ticket parafrasearret dat as in iepenbiere listener, en it argumint dat folget giet oer oft de bleatstelling wier is. De befinning seit selden wat de lêzer oannimt. It sitearret in maatstêfkontrôle mei in fêst berik, en it poartenûmer is mar ien ynput foar dat berik.

Lês de kontrôle foardatst de poarte ferdigenest. In befinning dy't as in fûnis lêst, is meast in predikaat dat op ien boarnemiddel tapast is.

Wat de befinningseach eins sitearret

Elke maatstêfbefinning draacht fjouwer dingen dy't it wurdich binne te skieden: it dokumint en de revyzje dêr't it wei komt, it boarnemiddel dat beoardiele is, it predikaat dat it resultaat oansette, en de dekking dy't de audit eins berikt hat. Teams sitearje meastentiids allinnich it boarnemiddel — in befeiligingsgroep of in netwurk-ACL of in host — en dan diskutearje se oer de poarte. It predikaat is wat beslút oft dyn listener hielendal yn it berik wie. Sûnder datst diskutearrest oer in nûmer ynstee fan in regel.

De dokumintaasje fan Amazon Security Hub hâldt dy skieding sichtber sûnder in betelmuorre-PDF:de EC2-kontrôle-side listet befeiligingsgroepkontrôles foar ûnbeheinde tagong op poarten 22 en 3389, en behannelet netwurk-ACL's as in oar boarnemiddel mei eigen betingsten. Deselde administraasjepoarten, oar objekt, oare test. Dat is de granulaasje dy't in befinning erft.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Skied de iepenbiere listener fan administraasjetagong

In VPN-listener dy't UDP 1194 fan it ynternet akseptearret, en in SSH-tsjinst dy't pas nei tagong berikber is, binne ferskillende bleatstellingspaden. De kontrôle dy't de earste dekt, seit miskien neat oer de twadde, en de kontrôle dy't de twadde dekt, negearret miskien de earste. In slagge resultaat op ien is gjin útspraak oer de oare, hoe gelyk de twa ek klinke op in statusgearkomste.

Behannelje elk paad as syn eigen rige yn 'e resinsje.

Ferifiearje dan wat de gateway sels tastiet. In tunnel akseptearje is net itselde as administraasjerjochten op 'e gateway jaan, en gjin fan beide is gelyk oan it berikken fan in tsjinner dêrefter. Diel de fraach yn wa't ferbine kin, wa't administrearje kin, en wat de tunnel berikke kin. Dy trije antwurden komme út ferskillende systemen en wurde routineus yn ien sin gearfoege dêr't nimmen op hannelje kin.

It boarnemiddel beslút oft de poarte hielendal yn it berik is

In befeiligingsgroepregel, in subnet-ACL-ynskriuwing en in host-firewallregel kinne allegear ferkear tastean, mar mar ien fan harren is miskien it objekt dat de kontrôle evaluearret. Effektive tastimming betsjut parallelle groepen, beide adresfamyljes en elke weigeringsregel derfoar kombinearje. In poarte dy't in kontrôle op groepsnivo mist, kin noch altyd ûnberikber wêze, en in poarte dy't dy hellet, kin noch altyd fierder nei binnen blokkearre wêze.

Hjir giet it transplantearen fan 'e regels fan in oare omjouwing mis. Netwurk-ACL's binne steatleas en wurde yn folchoarder evaluearre; befeiligingsgroepen hawwe steat en litte allinnich ta. In regelmodel liend fan 'e iene beskriuwt de oare net, en it oersetten derfan leveret in selsbewust antwurd oer it ferkearde objekt.

Skriuw de beslissing op sadat de folgjende audit dy wer brûkt

As it berik wier twifelich is, skriuw dan de kontrôlerevyzje, de boarnemiddelidentifikaasje, it predikaat sa't it sitearre is en it bewiis dat it oplost hat op. Heakje ta watst útsluten hast en wêrom. Dat ferslach is wat in twadde beoardieler deselde konklúzje berikke lit sûnder de hiele maatstêf op 'e nij te lêzen, en it is it iennige ding dat personielsferrin oerlibbet.

In notysje mei «VPN-poarte neigien» garandearret dat it debat folgjend fearnsjier weromkomt. Neam ynstee de beoardieler, de revyzje en it bewiis.