プライベートポートは背後のソフトウェアを保証しない

VPNだけがSSHリスナーに届くなら露出は小さく問題は片付いた、と考えるのは合理的な直感です。しかし露出は完全性と同じではありません。前半は正しく、後半はそこから導けません。到達可能性は誰が接続を試せるかを制御し、ソフトウェアの完全性は接続が届いたときリスナーが何をするかを制御します。門は対象者を狭めるだけで、その背後にあるコードについては何も語りません。

プライベートポートはより小さな扉であって別の錠ではなく、その違いが次に何を確認するかを決めます。

二つの制御、二つの問い

ネットワーク制限は露出を減らします。それは許可された利用者と、侵害された承認済みクライアントを、影響を受けるサービスに到達できる状態のままにします。パッケージを修正すればソフトウェアは回復しますが、過度に広いネットワーク許可を狭めるわけでもありません。各制御はそれぞれの仕事をし、一方が欠けていても他方は正しくあり得ます。両方をまとめて見直すと、チームは一方が両方を覆っていると自分を納得させますが、それがこの記事が扱う具体的な誤りです。

VPNエンドポイントもソフトウェアであり、同じ義務を負います。経路に加えることは独自の保守義務をもたらし、その背後のあらゆるものに対するサプライチェーンの責任を取り除くものではありません。

XZの公表が実際に示したもの

2024年三月のXZ/liblzmaの公表は、影響を受ける条件下でSSHサーバーの侵害につながり得るバックドアを記述していました。それは露出の問題であると同時にソフトウェアの完全性の問題であり、すべてのLinuxインストールが脆弱なビルドを抱えていた証拠ではありませんでした。範囲は影響を受けたバージョンとそれらを出荷したディストリビューションから決まり、オペレーティングシステムの系列名から決まるのではありません。

その区別はインシデント対応と噂の違いであり、細部にこだわる価値があります。

ポートを閉じることは復旧ではない

侵害がすでに起きている可能性があるなら、到達可能性を変えることは復旧ではありません。実行されたバックドアはすでに機会を得ています。ファイアウォールの規則は時間を遡りません。ホストと露出したあらゆる資格情報について承認されたインシデント手順に従い、実際に何が実行されたかを立証するために必要な証拠を保ってください。既知の正常なメディアからの再構築は、通常その会話の一部です。

ディストリビューションの現在の検証済み勧告と修復手順も使い、見出しではなく影響を受けるバージョンの一覧を読んでください。過去のダウングレード用コマンドを無関係な環境にコピーすることが、修正を新たな露出に変える道です。

両方を別々に見直す

二つの問いをそれぞれの言葉で立ててください。誰がリスナーに到達できるのか、そしてその対象者はサービスが意図する対象者と正確に一致するのか。どのバージョンのソフトウェアが導入されているのか、誰が成果物に署名したのか、組織は悪いリリースをニュースで読む前にどうやって知るのか。答えは異なる所有者を持つ異なる文書に属し、どちらの所有者も他方の代わりに答えることはできません。

管理されたフリートでは、ソフトウェア目録が第二の問いをそもそも答えられるものにする制御です。それがなければ、あらゆる公表が期限付きの考古学プロジェクトになります。

門は対象者を狭めます。完全性が、その対象者が意味を持つかを決めます。