פורט ה־VPN סומן על ידי מדד? בדקו את היקף הבקרה

הסורק שלכם מסמן את פורט ה־VPN, הכרטיס מנסח זאת מחדש כמאזין ציבורי, והדיון שלאחר מכן עוסק בשאלה אם החשיפה אמיתית. הממצא רק לעיתים נדירות אומר את מה שהקורא מניח. הוא מצטט בקרת מדד עם היקף קבוע, ומספר הפורט הוא רק קלט אחד באותו היקף.

קראו את הבקרה לפני שאתם מגנים על הפורט. ממצא שנקרא כמו פסק דין הוא בדרך כלל פרדיקט שמוחל על משאב אחד.

מה שורת הממצא באמת מצטטת

כל ממצא מדד נושא ארבעה דברים שכדאי להפריד: המסמך והגרסה שמהם הוא בא, המשאב שנבחן, הפרדיקט שהפעיל את התוצאה, והכיסוי שהביקורת השיגה בפועל. צוותים מצטטים בדרך כלל רק את המשאב — קבוצת אבטחה או ACL רשת או מארח — ואז מתווכחים על הפורט. הפרדיקט הוא שקובע אם המאזין שלכם היה בכלל בהיקף. בלעדיו אתם דנים במספר במקום בכלל.

התיעוד של Amazon Security Hub שומר על ההפרדה הזו גלויה בלי PDF מאחורי חומת תשלום:עמוד בקרות EC2 מפרט בדיקות של קבוצות אבטחה לגישה בלתי מוגבלת בפורטים 22 ו־3389, ומתייחס ל־ACL של רשת כמשאב אחר עם התנאים שלו. אותם פורטים ניהוליים, אובייקט אחר, בדיקה אחרת. זו הרזולוציה שממצא יורש.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

הפרידו את המאזין הציבורי מגישה ניהולית

מאזין VPN שמקבל UDP 1194 מהאינטרנט ושירות SSH שנגיש רק לאחר אישור הם נתיבי חשיפה שונים. הבדיקה שמכסה את הראשון עשויה לא לומר דבר על השני, והבדיקה שמכסה את השני עשויה להתעלם מהראשון. תוצאה שעוברת באחד אינה הצהרה על השני, עד כמה ששניהם נשמעים דומה בישיבת סטטוס.

התייחסו לכל נתיב כשורה משלו בסקירה.

לאחר מכן אמתו מה השער עצמו מתיר. קבלת מנהרה אינה זהה להענקת זכויות ניהול בשער, ואף אחד מהשניים אינו שווה להגעה לשרת שמאחוריו. חלקו את השאלה למי יכול להתחבר, מי יכול לנהל ומה המנהרה יכולה להשיג. שלוש התשובות הללו מגיעות ממערכות שונות ומאוחדות באופן שגרתי למשפט אחד שאיש אינו יכול לפעול לפיו.

המשאב קובע אם הפורט בכלל בהיקף

כלל של קבוצת אבטחה, רשומה ב־ACL של תת־רשת וכלל חומת אש של מארח יכולים כולם להתיר תעבורה, אך רק אחד מהם עשוי להיות האובייקט שהבקרה מעריכה. התרה אפקטיבית פירושה שילוב של קבוצות מקבילות, שתי משפחות הכתובות וכל כלל חסימה שלפניהן. פורט שנכשל בבדיקה ברמת הקבוצה עשוי עדיין להיות בלתי נגיש, ופורט שעובר אותה עשוי עדיין להיות חסום עמוק יותר.

כאן השתלת כללים מסביבה אחרת משתבשת. ACL של רשת הוא חסר מצב ונבחן לפי סדר; קבוצות אבטחה הן בעלות מצב ומתירות בלבד. מודל כללים שנלקח מאחד אינו מתאר את השני, ותרגומו מייצר תשובה בטוחה על האובייקט הלא נכון.

תעדו את ההחלטה כדי שהביקורת הבאה תשתמש בה שוב

כשהיקף באמת דו־משמעי, רשמו את גרסת הבקרה, את מזהה המשאב, את הפרדיקט כפי שצוטט ואת הראיה שפתרה אותו. כללו מה שללתם ולמה. הרשומה הזו היא שמאפשרת למבקר שני להגיע לאותה מסקנה בלי לקרוא מחדש את כל המדד, והיא הדבר היחיד ששורד תחלופת עובדים.

הערה שאומרת «פורט ה־VPN נבדק» מבטיחה שהדיון יחזור ברבעון הבא. במקום זאת ציינו את המעריך, את הגרסה ואת הראיה.