VPN պորտը նշվել է չափանիշով։ Ստուգեք վերահսկողության շրջանակը

Ձեր սկաները նշում է VPN պորտը, տոմսը վերաձևակերպում է դա որպես հանրային լսող, և հաջորդող վեճը այն մասին է, թե արդյոք բացահայտումն իրական է։ Եզրակացությունը հազվադեպ է ասում այն, ինչ ենթադրում է ընթերցողը։ Այն մեջբերում է ֆիքսված շրջանակով չափանիշային վերահսկողություն, և պորտի համարը միայն մեկ մուտք է այդ շրջանակ։

Կարդացեք վերահսկողությունը նախքան պորտը պաշտպանելը։ Դատավճռի պես ընթացող եզրակացությունը սովորաբար մեկ ռեսուրսի վրա կիրառված նախադրյալ է։

Ինչ է իրականում մեջբերում եզրակացության տողը

Յուրաքանչյուր չափանիշային եզրակացություն կրում է չորս բան, որոնք արժե առանձնացնել՝ փաստաթուղթն ու վերանայումը, որոնցից այն եկել է, գնահատված ռեսուրսը, արդյունքը հրահրած նախադրյալը և այն ծածկույթը, որին աուդիտը իրականում հասել է։ Թիմերը սովորաբար մեջբերում են միայն ռեսուրսը՝ անվտանգության խումբ կամ ցանցային ACL կամ հոսթ, և հետո վիճում են պորտի շուրջ։ Նախադրյալն է որոշում՝ ձեր լսողը ընդհանրապես շրջանակում էր արդյոք։ Առանց դրա դուք վիճում եք թվի, այլ ոչ կանոնի շուրջ։

Amazon Security Hub-ի փաստաթղթերը տեսանելի են պահում այդ բաժանումը առանց վճարովի PDF-ի.EC2 վերահսկողությունների էջը թվարկում է անվտանգության խմբերի ստուգումները 22 և 3389 պորտերի անսահմանափակ հասանելիության համար և ցանցային ACL-ները դիտարկում է որպես իր սեփական պայմաններով այլ ռեսուրս։ Նույն վարչական պորտերը, այլ օբյեկտ, այլ թեստ։ Ահա այն մանրամասնությունը, որ եզրակացությունը ժառանգում է։

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Առանձնացրեք հանրային լսողին վարչական հասանելիությունից

Ինտերնետից UDP 1194 ընդունող VPN լսողը և միայն թույլտվությունից հետո հասանելի SSH ծառայությունը տարբեր բացահայտման ուղիներ են։ Առաջինը ծածկող ստուգումը կարող է ոչինչ չասել երկրորդի մասին, իսկ երկրորդը ծածկողը կարող է անտեսել առաջինը։ Մեկում հանձնված արդյունքը հայտարարություն չէ մյուսի մասին, որքան էլ նրանք նման հնչեն կարգավիճակի հանդիպմանը։

Յուրաքանչյուր ուղի դիտարկեք որպես իր սեփական տողը վերանայման մեջ։

Այնուհետև ստուգեք, թե ինչ է թույլատրում ինքը դարպասը։ Թունել ընդունելը նույնը չէ, ինչ դարպասի վրա վարչական իրավունքներ տալը, և դրանցից ոչ մեկը հավասար չէ դրա հետևում գտնվող սերվերին հասնելուն։ Բաժանեք հարցը՝ ով կարող է միանալ, ով կարող է կառավարել և ինչի կարող է հասնել թունելը։ Այդ երեք պատասխանները գալիս են տարբեր համակարգերից և սովորաբար միաձուլվում են մեկ նախադասության մեջ, որի հիման վրա ոչ ոք չի կարող գործել։

Հենց ռեսուրսն է որոշում՝ պորտը ընդհանրապես շրջանակում է արդյոք

Անվտանգության խմբի կանոնը, ենթացանցի ACL գրառումը և հոսթի հրդեհապատի կանոնը բոլորը կարող են թույլատրել երթևեկություն, սակայն դրանցից միայն մեկը կարող է լինել այն օբյեկտը, որը գնահատում է վերահսկողությունը։ Արդյունավետ թույլտվությունը նշանակում է միավորել զուգահեռ խմբերը, հասցեների երկու ընտանիքները և դրանց առջևում գտնվող ցանկացած մերժման կանոն։ Խմբի մակարդակի ստուգման վրա ձախողված պորտը կարող է դեռևս անհասանելի լինել, իսկ այն անցած պորտը կարող է ավելի խորը արգելափակված լինել։

Այստեղ է, որ այլ միջավայրի կանոնների փոխպատվաստումը սխալ է գնում։ Ցանցային ACL-ները վիճակ չեն պահում և գնահատվում են հերթականությամբ, իսկ անվտանգության խմբերը վիճակ են պահում և միայն թույլատրում են։ Մեկից վերցված կանոնների մոդելը չի նկարագրում մյուսին, և դրա թարգմանությունը վստահ պատասխան է տալիս սխալ օբյեկտի մասին։

Գրանցեք որոշումը, որպեսզի հաջորդ աուդիտը կրկին օգտագործի այն

Երբ շրջանակն իսկապես երկիմաստ է, գրեք վերահսկողության վերանայումը, ռեսուրսի նույնացուցիչը, մեջբերված նախադրյալը և այն ապացույցը, որը լուծեց այն։ Ներառեք, թե ինչ բացառեցիք և ինչու։ Հենց այդ գրառումն է թույլ տալիս երկրորդ գրախոսին հասնել նույն եզրակացությանը՝ առանց ամբողջ չափանիշը վերընթերցելու, և դա է միակը, որ վերապրում է անձնակազմի փոփոխությունը։

«VPN պորտը ստուգված է» գրառումը երաշխավորում է, որ վեճը կվերադառնա հաջորդ եռամսյակ։ Փոխարենը նշեք գնահատողին, վերանայումը և ապացույցը։