חומת אש בין פורטים אינה גבול מארח

האתר עונה על 443, ה-VPN עונה על 1194, חומת האש מתירה בדיוק את השניים האלה, והסקירה עוברת. שום דבר ברצף הזה לא שאל מה עובד האינטרנט יכול לקרוא או אילו קבצים הוא יכול לשכתב. עובד שנפרץ אינו זקוק לפורט פתוח אם הוא יכול להגיע לסוקט בקרה או לתיקיית תצורה שאפשר לכתוב בה. הגבול הוא סמכות, והמאזינים הם רק החלק שקל לראות.

שם שירות נפרד הוא תווית; זהות נפרדת היא תכונת אבטחה.

ספרו את סמכות העובד, לא את הפורטים

התחילו במשתמש זמן הריצה, בקבוצות שלו, ביכולות שלו ובתצוגת מערכת הקבצים שלו. חשבון שירות שמקרה שייך לקבוצת VPN יכול לקרוא חומר מפתח בלי שאף פורט יהיה פתוח. עיגוני כתיבה הם החצי השני: העלאות ומטמונים צריכים לשבת הרחק מקבצי מדיניות ומסודות, ותיקייה משותפת לכתיבה שלא לצורך מכשילה שמות מסודרים. בדקו את התהליך שיבצע את הפעולה, כי אב בעל הרשאות ועובדים חסרי הרשאות אינם חולקים סמכות אחת.

היכולת לקרוא מפתח VPN בזמן אתחול הדמון אינה אומרת שעובד האינטרנט זקוק לו. הפרידו בין הקריאה שהדמון מבצע לבין הגישה שניתנת ליישום.

סוקטים שמעניקים יותר ממה שהם נראים

כמה נקודות קצה הן ממשקי API ניהוליים בתחפושת של זרם מדדים. ממשק הניהול של ה-VPN יכול לשנות הפעלות, לנתק לקוחות ולקרוא מצב. סוקט זמן הריצה של מכולות רחב עוד יותר: גישה אליו היא בפועל שליטה במארח, הרבה מעבר למה שיישום אינטרנט זקוק לו. אף אחד מהם אינו שייך למערך העיגונים של יישום רגיל, ואף אחד מהם אינו מופיע כשסופרים פורטים מאזינים.

קשירת מאזין ניהולי לכתובת מקומית היא התחלה, לא הגבלה מלאה, כי כל נתיב כניסה לכתובת הזו עדיין חשוב. התירו רק את המקורות והממשקים המיועדים.

מכולות חולקות ליבה אחת

מכולות מוסיפות גבולות של תהליך, מערכת קבצים ורשת, והן חולקות ליבה אחת עם המארח. זה הופך את בחירות היכולות, את עיגוני המארח ואת גישת הדמון למכריעות: עיגון סודות של המארח או מתן שליטה מורשית בזמן ריצה מוחקים את הגבול שתגית המכולה מרמזת עליו. מכונות וירטואליות נפרדות אכן נותנות ליבות אורח נפרדות, בעוד ההיפרוויזר, הזהויות הניהוליות, האחסון והגיבויים נשארים משותפים. בחרו את הגבול שיש לו בעלים בשם לתצורתו ולעדכוניו.

סידור מורכב יותר שאיש אינו מתחזק גרוע מסידור פשוט שבאמת נסקר.

בדקו את הסירוב, ואז את השירות

השתמשו בבדיקות מאושרות בהקשר האמיתי של העובד כדי לאשר שהוא אינו יכול לשנות מדיניות VPN, לקרוא סודות מיותרים או לגעת בממשק הניהול. קריאה מוצלחת כמנהל אינה בודקת דבר לגבי הסירוב הזה. לאחר מכן אמתו את האתר, פעולת VPN רגילה ומותרת, ומה קורה לכל אחד מהם באתחול מחדש. שמרו נתיב התאוששות שאינו תלוי בתיקון ה-VPN, כדי שטעות תישאר ניתנת לתיקון.

שני התפקידים עדיין חולקים CPU, זיכרון, קיבולת קישור עולה ואירועי תחזוקה. המשאבים המשותפים האלה שייכים לתוכנית גם כשגבול הסמכות נקי.

תעדו מה כל תהליך יכול לעשות, מה נכשל אם הוא נעצר, ואיזה גבול נשאר משותף. ספירת פורטים אינה התיעוד הזה.