Egy privát port nem igazolja a mögötte lévő szoftvert

Ez ésszerű ösztön: ha csak a VPN éri el az SSH-figyelőt, a kitettség kicsi, és a probléma megoldva. A kitettség azonban nem egyenlő az integritással. Az első fele igaz, a második nem következik belőle. Az elérhetőség azt szabályozza, ki próbálhat kapcsolatot; a szoftverintegritás azt, mit tesz a figyelő, amikor kap egyet. Egy kapu szűkíti a közönséget, és semmit nem mond a mögötte lévő kódról.

A privát port kisebb ajtó, nem más zár, és ez a különbség dönti el, mit ellenőriz következőként.

Két kontroll, két kérdés

A hálózati korlátozás csökkenti a kitettséget. Engedélyezett felhasználókat, és bármely kompromittált jóváhagyott klienst, továbbra is képessé tesz arra, hogy elérje az érintett szolgáltatást. A csomag javítása helyreállítja a szoftvert, és nem szűkíti a túl széles hálózati engedélyt sem. Minden kontroll a saját dolgát végzi, és mindegyik lehet helyes, miközben a másik hiányzik. Együttes vizsgálatuk az a mód, ahogy egy csapat meggyőzi magát arról, hogy az egyik mindkettőt lefedi, és pontosan ez a hiba, amelyről ez az írás szól.

A VPN végpont is szoftver, és ugyanazt a kötelezettséget hordozza. Az útvonalba illesztése saját karbantartási kötelezettséget vezet be, és nem szünteti meg az ellátási lánc felelősségét semmi mögötte lévőért.

Mit mutatott meg valójában az XZ leleplezése

A 2024 márciusi XZ/liblzma leleplezés egy hátsó ajtót írt le, amely érintett körülmények között SSH-kiszolgáló kompromittálásához vezethetett. Szoftverintegritási probléma volt ugyanúgy, mint kitettségi probléma, és nem volt bizonyíték arra, hogy minden Linux-telepítés a sebezhető buildet hordozta. A hatókört az érintett verziók és az azokat szállító disztribúciók adják, nem az operációs rendszer családjának neve.

Ez a különbség az incidensválasz és a pletyka közötti különbség, és érdemes pedánsnak lenni vele kapcsolatban.

A port bezárása nem helyreállítás

Ha a kompromittálás már megtörténhetett, az elérhetőség megváltoztatása nem helyreállítás. Egy végrehajtott hátsó ajtó már megkapta a lehetőségét; a tűzfal-szabály nem utazik visszafelé az időben. Kövesse a jóváhagyott incidensfolyamatot a gazdagép és minden felfedett hitelesítő adat esetében, és őrizze meg a szükséges bizonyítékokat annak megállapításához, mi futott valójában. Az ismerten jó adathordozóról való újraépítés általában része ennek a beszélgetésnek.

Használja a disztribúció jelenlegi ellenőrzött tanácsadását és helyreállítási folyamatát is, és az érintett verziók listáját olvassa a főcím helyett. Egy történelmi visszaléptető parancs másolása egy nem kapcsolódó környezetbe az, ahogy egy javítás új kitettséggé válik.

Mindkettőt külön vizsgálja

Tegye fel a két kérdést a saját fogalmaival. Ki érheti el a figyelőt, és pontosan az a közönség-e, akinek a szolgáltatás szól? A szoftver melyik verziója van telepítve, ki írta alá az artefaktumot, és hogyan értesül a szervezet egy rossz kiadásról, mielőtt a hírekben olvasna róla? A válaszok különböző dokumentumokhoz tartoznak különböző tulajdonosokkal, és egyik tulajdonos sem válaszolhat a másik helyett.

Egy felügyelt flotta esetében a szoftverleltár az a kontroll, amely egyáltalán megválaszolhatóvá teszi a második kérdést. Nélküle minden leleplezés határidővel ellátott régészeti projektté válik.

A kapu szűkíti a közönséget. Az integritás dönti el, számít-e a közönség.