Port privat tidak menjamin perangkat lunak di belakangnya

Ini naluri yang wajar: jika hanya VPN yang mencapai pendengar SSH, eksposurnya kecil dan masalahnya dianggap selesai. Namun eksposur tidak sama dengan integritas. Paruh pertama benar dan paruh kedua tidak mengikutinya. Keterjangkauan mengatur siapa yang boleh mencoba koneksi; integritas perangkat lunak mengatur apa yang akan dilakukan pendengar saat menerima koneksi. Gerbang mempersempit audiens dan tidak mengatakan apa pun tentang kode di belakangnya.

Port privat adalah pintu yang lebih kecil, bukan kunci yang berbeda, dan perbedaan itulah yang menentukan apa yang Anda periksa berikutnya.

Dua kontrol, dua pertanyaan

Pembatasan jaringan mengurangi eksposur. Pembatasan itu tetap membiarkan pengguna yang diizinkan, dan klien disetujui mana pun yang telah disusupi, mampu menjangkau layanan yang terdampak. Memperbaiki paket memulihkan perangkat lunak, dan itu juga tidak mempersempit izin jaringan yang terlalu luas. Setiap kontrol menjalankan tugasnya sendiri, dan masing-masing bisa benar sementara yang lain tidak ada. Meninjaunya bersama-sama adalah cara tim meyakinkan diri bahwa satu mencakup keduanya, dan itulah kesalahan spesifik yang dibahas tulisan ini.

Titik akhir VPN juga perangkat lunak, dan ia memikul kewajiban yang sama. Menambahkannya ke jalur mendatangkan kewajiban pemeliharaannya sendiri, dan tidak menghapus tanggung jawab rantai pasok untuk apa pun di belakangnya.

Apa yang sebenarnya ditunjukkan pengungkapan XZ

Pengungkapan XZ/liblzma pada Maret 2024 menggambarkan pintu belakang yang dapat mengarah pada kompromi server SSH dalam kondisi terdampak. Itu adalah masalah integritas perangkat lunak sama seperti masalah eksposur, dan bukan bukti bahwa setiap pemasangan Linux membawa build yang rentan. Cakupan berasal dari versi terdampak dan distribusi yang mengirimkannya, bukan dari nama keluarga sistem operasi.

Perbedaan itu adalah perbedaan antara respons insiden dan desas-desus, dan layak untuk teliti soal itu.

Menutup port bukan pemulihan

Jika kompromi mungkin sudah terjadi, mengubah keterjangkauan bukanlah pemulihan. Pintu belakang yang telah dieksekusi sudah mendapat kesempatannya; aturan firewall tidak berjalan mundur dalam waktu. Ikuti proses insiden yang disetujui untuk host dan untuk kredensial apa pun yang terekspos, dan simpan bukti yang diperlukan untuk memastikan apa yang benar-benar dieksekusi. Membangun ulang dari media yang diketahui baik biasanya bagian dari percakapan itu.

Gunakan juga saran terverifikasi distribusi saat ini dan proses remediasinya, dan baca daftar versi terdampak alih-alih judulnya. Menyalin perintah penurunan versi historis ke lingkungan yang tidak terkait adalah cara sebuah perbaikan menjadi eksposur baru.

Tinjau keduanya, secara terpisah

Ajukan kedua pertanyaan dengan istilahnya sendiri. Siapa yang dapat mencapai pendengar, dan apakah audiens itu persis audiens yang dituju layanan? Versi perangkat lunak mana yang terpasang, siapa yang menandatangani artefak, dan bagaimana organisasi mengetahui rilis buruk sebelum membacanya di berita? Jawabannya ada dalam dokumen berbeda dengan pemilik berbeda, dan tidak ada pemilik yang dapat menjawab atas nama yang lain.

Untuk armada terkelola, inventaris perangkat lunak adalah kontrol yang membuat pertanyaan kedua sama sekali dapat dijawab. Tanpanya, setiap pengungkapan menjadi proyek arkeologi dengan tenggat waktu.

Gerbang mempersempit audiens. Integritas menentukan apakah audiens itu penting.