Privatni port ne svjedoči o softveru iza sebe

To je razuman instinkt: ako samo VPN stiže do SSH slušača, izloženost je mala i problem je riješen. Izloženost ipak nije jednaka cjelovitosti. Prva polovica je točna, a druga iz nje ne slijedi. Dostupnost kontrolira kome je dopušteno pokušati vezu; cjelovitost softvera kontrolira što će slušač učiniti kada je dobije. Kapija sužava publiku i ne govori ništa o kodu iza nje.

Privatni port su manja vrata, a ne druga brava, i ta razlika odlučuje što ćete sljedeće provjeriti.

Dvije kontrole, dva pitanja

Mrežno ograničenje smanjuje izloženost. Ono ostavlja dopuštene korisnike, i svakog kompromitiranog odobrenog klijenta, u stanju dosegnuti pogođenu uslugu. Ispravljanje paketa vraća softver i pritom ne sužava preširoku mrežnu dozvolu. Svaka kontrola obavlja svoj posao i svaka može biti ispravna dok druga nedostaje. Zajednički pregled je način na koji se tim uvjerava da jedna pokriva oboje, a to je upravo pogreška o kojoj govori ovaj tekst.

VPN krajnja točka također je softver i nosi istu obvezu. Dodavanje u put uvodi vlastitu obvezu održavanja i ne uklanja odgovornost lanca opskrbe za sve iza nje.

Što je objava o XZ-u zapravo pokazala

Objava o XZ/liblzma iz ožujka 2024. opisala je stražnja vrata koja su pod pogođenim uvjetima mogla dovesti do kompromitacije SSH poslužitelja. Bio je to problem cjelovitosti softvera koliko i problem izloženosti, i nije bio dokaz da svaka Linux instalacija nosi ranjivu gradnju. Opseg dolazi iz pogođenih verzija i distribucija koje su ih isporučile, a ne iz imena obitelji operacijskog sustava.

Ta razlika je razlika između odgovora na incident i glasine, i vrijedi biti pedantan u vezi s tim.

Zatvaranje porta nije oporavak

Ako se kompromitacija možda već dogodila, promjena dostupnosti nije oporavak. Stražnja vrata koja su se izvršila već su imala priliku; pravilo vatrozida ne putuje unatrag kroz vrijeme. Slijedite odobreni proces za incidente za host i za sve izložene vjerodajnice, i sačuvajte dokaze potrebne da se utvrdi što se doista izvršilo. Ponovna izgradnja s poznatih ispravnih medija obično je dio tog razgovora.

Upotrijebite i trenutnu provjerenu obavijest i proces sanacije distribucije te čitajte popis pogođenih verzija umjesto naslova. Kopiranje povijesne naredbe za vraćanje verzije u nepovezano okruženje način je na koji popravak postaje nova izloženost.

Pregledajte oboje, odvojeno

Postavite dva pitanja njihovim vlastitim pojmovima. Tko može dosegnuti slušača i je li ta publika točno ona kojoj je usluga namijenjena? Koja je verzija softvera instalirana, tko je potpisao artefakt i kako organizacija sazna za loše izdanje prije nego što o tome pročita u vijestima? Odgovori pripadaju različitim dokumentima s različitim vlasnicima i nijedan vlasnik ne može odgovoriti za drugoga.

Za upravljanu flotu, popis softvera kontrola je koja uopće čini drugo pitanje odgovorivim. Bez njega svaka objava postaje arheološki projekt s rokom.

Kapija sužava publiku. Cjelovitost odlučuje je li publika važna.