VPN-port merkt af viðmiði? Athugaðu umfang stýringarinnar

Skanninn þinn merkir VPN-portið, miðinn umorðar það sem opinberan hlustanda, og deilan sem fylgir snýst um hvort útsetningin sé raunveruleg. Niðurstaðan segir sjaldan það sem lesandinn gerir ráð fyrir. Hún vitnar í viðmiðarstýringu með fast umfang, og portnúmerið er aðeins ein inntaksbreyta í það umfang.

Lestu stýringuna áður en þú verndar portið. Niðurstaða sem lesin er eins og dómur er venjulega predikat sem beitt er á eina auðlind.

Hvað niðurstöðulínan vitnar í raun

Hver viðmiðarniðurstaða ber fjóra hluti sem vert er aðgreina: skjalið og endurskoðunina sem hún kemur frá, auðlindina sem var metin, predikatið sem kom niðurstöðunni af stað, og þá umfjöllun sem endurskoðunin náði í raun. Teymi vitna venjulega aðeins í auðlindina — öryggishóp eða net-ACL eða hýsil — og svo deila þau um portið. Predikatið ræður því hvort hlustandinn þinn var yfirhöfuð innan umfangsins. Án þess deilirðu um tölu í stað reglu.

Skjöl Amazon Security Hub halda þessari aðgreiningu sýnilegri án PDFs bak við greiðsluvegg:EC2 stýringasíðan telur upp öryggishópaprófanir fyrir ótakmarkaðan aðgang á portum 22 og 3389, og meðhöndlar net-ACL sem aðra auðlind með eigin skilyrðum. Sömu stjórnunarport, annar hlutur, önnur prófun. Það er sá smáatriðastig sem niðurstaða erfir.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Aðgreindu opinbera hlustandann frá stjórnunaraðgangi

VPN-hlustandi sem tekur við UDP 1194 frá internetinu og SSH-þjónusta sem er aðeins aðgengileg eftir inngöngu eru mismunandi útsetningarbrautir. Prófunin sem nær yfir þá fyrri segir ef til vill ekkert um þá seinni, og prófunin sem nær yfir þá seinni gæti hunsað þá fyrri. Staðin niðurstaða á annarri er ekki fullyrðing um hina, hversu líkt sem þær hljóma á stöðufundi.

Meðhöndlaðu hverja braut sem sína eigin línu í yfirferðinni.

Staðfestu síðan hvað gáttin sjálf heimilar. Að taka við göngum er ekki það sama og að veita stjórnunarréttindi á gáttinni, og hvorugt jafngildir því að ná í netþjón bak við hana. Skiptu spurningunni í hver getur tengst, hver getur stjórnað og hvað göngin geta náð. Þessi þrjú svör koma úr mismunandi kerfum og eru rútínulega sameinuð í eina setningu sem enginn getur aðhafst út frá.

Auðlindin ræður því hvort portið er yfirhöfuð innan umfangsins

Regla öryggishóps, færsla í net-ACL undirnets og regla hýsilveggs geta öll leyft umferð, en aðeins ein þeirra getur verið hluturinn sem stýringin metur. Virkt leyfi þýðir að sameina samhliða hópa, báðar vistfangi fjölskyldur og hvaða synjunarreglu sem er fyrir framan þær. Port sem fellur á prófun á hópstigi getur samt verið óaðgengilegt, og port sem stendst hana getur samt verið lokað lengra inni.

Hér fer það úrskeiðis að græða reglur annars umhverfis. Net-ACL eru stöðulaus og metin í röð; öryggishópar bera stöðu og leyfa aðeins. Reglulíkan sem lánað er frá öðru lýsir ekki hinu, og þýðing þess gefur sjálfstrausta svari um rangann hlut.

Skráðu ákvörðunina svo næsta endurskoðun endurnýti hana

Þegar umfangið er sannarlega tvírætt, skrifaðu niður endurskoðun stýringarinnar, auðkenni auðlindarinnar, predikatið eins og vitnað var í það og sönnunina sem leysti það. Taktu fram hvað þú útilokaðir og hvers vegna. Þessi skráning er það sem gerir öðrum endurskoðanda kleift að komast að sömu niðurstöðu án þess að lesa allt viðmiðið aftur, og hún er það eina sem lifir starfsmannaveltu.

Athugasemd sem segir «VPN-port yfirfarið» tryggir að deilan komi aftur næsta fjórðung. Nefndu í staðinn matsaðilann, endurskoðunina og sönnunina.