બેન્ચમાર્ક દ્વારા VPN પોર્ટ ફ્લેગ થયું? નિયંત્રણની વ્યાપ્તિ તપાસો

તમારું સ્કેનર VPN પોર્ટને ફ્લેગ કરે છે, ટિકિટ તેને સાર્વજનિક શ્રોતા તરીકે ફરીથી વર્ણવે છે, અને પછીની દલીલ એ વિશે છે કે શું એક્સપોઝર વાસ્તવિક છે. તારણ ભાગ્યે જ એ કહે છે જે વાચક ધારે છે. તે નિશ્ચિત વ્યાપ્તિવાળા બેન્ચમાર્ક નિયંત્રણને ટાંકે છે, અને પોર્ટ નંબર તે વ્યાપ્તિમાં ફક્ત એક ઇનપુટ છે.

પોર્ટનો બચાવ કરતા પહેલા નિયંત્રણ વાંચો. ચુકાદાની જેમ વંચાતું તારણ સામાન્ય રીતે એક સંસાધન પર લાગુ કરાયેલું પ્રેડિકેટ હોય છે.

તારણની પંક્તિ ખરેખર શું ટાંકે છે

દરેક બેન્ચમાર્ક તારણ ચાર વસ્તુઓ ધરાવે છે જે અલગ કરવા યોગ્ય છે: જે દસ્તાવેજ અને પુનરાવૃત્તિમાંથી તે આવ્યું, જે સંસાધનનું મૂલ્યાંકન થયું, જે પ્રેડિકેટે પરિણામ શરૂ કર્યું અને ઓડિટે ખરેખર જે કવરેજ મેળવ્યું. ટીમો સામાન્ય રીતે ફક્ત સંસાધનને ટાંકે છે — સિક્યુરિટી ગ્રુપ અથવા નેટવર્ક ACL અથવા હોસ્ટ — અને પછીપોર્ટ વિશે દલીલ કરે છે. પ્રેડિકેટ જ નક્કી કરે છે કે તમારો શ્રોતા બિલકુલ વ્યાપ્તિમાં હતો કે નહીં. તેના વિના તમે નિયમને બદલે સંખ્યા વિશે દલીલ કરો છો.

Amazonનું Security Hub દસ્તાવેજીકરણ પેડવોલ પાછળના PDF વિના એ વિભાજન દૃશ્યમાન રાખે છે:EC2 નિયંત્રણ પૃષ્ઠ પોર્ટ 22 અને 3389 પર અમર્યાદિત ઍક્સેસ માટે સિક્યુરિટી ગ્રુપ ચકાસણીઓની યાદી આપે છે અને નેટવર્ક ACLને પોતાની શરતો સાથે અલગ સંસાધન તરીકે ગણે છે. એ જ વહીવટી પોર્ટ, અલગ ઑબ્જેક્ટ, અલગ પરીક્ષણ. તારણ જે સૂક્ષ્મતા વારસાઈમાં મેળવે છે તે આ છે.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

સાર્વજનિક શ્રોતાને વહીવટી ઍક્સેસથી અલગ કરો

ઇન્ટરનેટથી UDP 1194 સ્વીકારતો VPN શ્રોતા અને પ્રવેશ મંજૂરી પછી જ પહોંચી શકાય તેવી SSH સેવા અલગ એક્સપોઝર માર્ગો છે. પ્રથમને આવરી લેતી ચકાસણી બીજા વિશે કંઈ ન કહે, અને બીજાને આવરતી ચકાસણી પ્રથમને અવગણી શકે. એક પર સફળ પરિણામ બીજા વિશેનું નિવેદન નથી, સ્ટેટસ મીટિંગમાં બંને કેટલા પણ સમાન સંભળાય.

સમીક્ષામાં દરેક માર્ગને તેની પોતાની પંક્તિ ગણો.

પછી ગેટવે પોતે શું અધિકૃત કરે છે તે ચકાસો. ટનલ સ્વીકારવી એ ગેટવે પર વહીવટી અધિકાર આપવા સમાન નથી, અને બંમાંથી કોઈ પણ તેની પાછળના સર્વર સુધી પહોંચવા સમાન નથી. પ્રશ્નને વિભાજિત કરો: કોણ કનેક્ટ થઈ શકે, કોણ વહીવટ કરી શકે અને ટનલ શું સુધી પહોંચી શકે. એ ત્રણ જવાબ અલગ સિસ્ટમમાંથી આવે છે અને નિયમિતપણે એક વાક્યમાં ભેગા કરવામાં આવે છે જેના પર કોઈ કાર્ય કરી શકતું નથી.

સંસાધન જ નક્કી કરે છે કે પોર્ટ બિલકુલ વ્યાપ્તિમાં છે કે નહીં

સિક્યુરિટી ગ્રુપ નિયમ, સબનેટ ACL એન્ટ્રી અને હોસ્ટ ફાયરવોલ નિયમ બધા ટ્રાફિકને મંજૂરી આપી શકે છે, છતાં તેમાંથી ફક્ત એક જ નિયંત્રણ જે ઑબ્જેક્ટનું મૂલ્યાંકન કરે છે તે હોઈ શકે. અસરકારક મંજૂરી એટલે સમાંતર ગ્રુપ, બંને સરનામાં કુટુંબો અને તેમની સામેનો કોઈ પણ નકાર નિયમ ભેગા કરવો. ગ્રુપ-સ્તરની ચકાસણીમાં નિષ્ફળ જતો પોર્ટ તો પણ અગમ્ય રહી શકે છે, અને તેને પાસ કરતો પોર્ટ વધુ અંદર બ્લોક રહી શકે છે.

અહીં જ બીજા પર્યાવરણના નિયમોનું રોપણ ખોટું જાય છે. નેટવર્ક ACL સ્ટેટલેસ છે અને ક્રમમાં મૂલ્યાંકન પામે છે; સિક્યુરિટી ગ્રુપ સ્ટેટફુલ છે અને ફક્ત મંજૂરી આપે છે. એકમાંથી ઉધાર લીધેલું નિયમ મોડેલ બીજાનું વર્ણન કરતું નથી, અને તેનું ભાષાંતર ખોટા ઑબ્જેક્ટ વિશે આત્મવિશ્વાસપૂર્ણ જવાબ આપે છે.

નિર્ણય નોંધો જેથી આગલું ઓડિટ તેનો ફરી ઉપયોગ કરે

જ્યારે વ્યાપ્તિ ખરેખર અસ્પષ્ટ હોય, ત્યારે નિયંત્રણની પુનરાવૃત્તિ, સંસાધન ઓળખકર્તા, ટાંકાયેલું પ્રેડિકેટ અને જે પુરાવાએ તેને ઉકેલ્યું તે નોંધો. તમે શું બાકાત રાખ્યું અને કેમ તે સામેલ કરો. એ જ રેકોર્ડ બીજા સમીક્ષકને આખું બેન્ચમાર્ક ફરી વાંચ્યા વિના એ જ નિષ્કર્ષ પર પહોંચવા દે છે, અને કર્મચારી બદલાવમાં ટકી રહેતી એ જ એકમાત્ર વસ્તુ છે.

«VPN પોર્ટની સમીક્ષા થઈ» એમ કહેતી નોંધ બાંયધરી આપે છે કે આગલા ત્રિમાસિકમાં દલીલ પાછી આવશે. તેના બદલે મૂલ્યાંકનકર્તા, પુનરાવૃત્તિ અને પુરાવાનું નામ આપો.