პორტებს შორის ფაირვოლი ჰოსტის საზღვარი არ არის

ვებსაიტი პასუხობს 443-ზე, VPN პასუხობს 1194-ზე, ფაირვოლი ზუსტად ამ ორს უშვებს და მიმოხილვა გადის. ამ თანმიმდევრობაში არაფერს უკითხავს, რისი წაკითხვა შეუძლია ვებ-მუშაკს ან რომელი ფაილების გადაწერა შეუძლია. კომპრომეტირებულ მუშაკს ღია პორტი არ სჭირდება, თუ ის აღწევს კონტროლის სოკეტამდე ან ჩაწერად კონფიგურაციის საქაღალდემდე. საზღვარი არის უფლებამოსილება, ხოლო მსმენელები მხოლოდ ის ნაწილია, რომლის დანახვაც ადვილია.

ცალკე სერვისის სახელი ეტიკეტია; ცალკე იდენტობა უსაფრთხოების თვისებაა.

დაითვალეთ მუშაკის უფლებამოსილება და არა პორტები

დაიწყეთ გაშვების მომხმარებლით, მისი ჯგუფებით, შესაძლებლობებით და ფაილური სისტემის ხედვით. სერვისის ანგარიშს, რომელიც შემთხვევით VPN ჯგუფშია, შეუძლია გასაღების მასალის წაკითხვა ყოველგვარი ღია პორტის გარეშე. ჩაწერადი მიმაგრებები მეორე ნახევარია: ატვირთვები და ქეშები უნდა იყოს პოლიტიკის ფაილებისა და საიდუმლოებებისგან მოშორებით, ხოლო ზედმეტად გაზიარებული ჩაწერადი საქაღალდე ამაოში აყენებს ლამაზ სახელდებას. შეამოწმეთ პროცესი, რომელიც შეასრულებდა ოპერაციას, რადგან პრივილეგირებული მშობელი და არაპრივილეგირებული მუშაკები ერთ უფლებამოსილებას არ იზიარებენ.

ის, რომ VPN გასაღები დემონის გაშვებისას იკითხება, არ ნიშნავს, რომ ვებ-მუშაკს ის სჭირდება. გამოყავით დემონის მიერ კითხვა იმ წვდომისგან, რომელიც აპლიკაციას ეძლევა.

სოკეტები, რომლებიც მეტს აძლევენ, ვიდრე ჩანან

ზოგიერთი ბოლო წერტილი ადმინისტრაციული API-ებია მეტრიკის ნაკადის კაბაში. VPN-ის მართვის ინტერფეისს შეუძლია სესიების შეცვლა, კლიენტების გათიშვა და მდგომარეობის წაკითხვა. კონტეინერის გაშვების გარემოს სოკეტი კიდევ უფრო ფართოა: მასზე წვდომა ფაქტობრივად ჰოსტის კონტროლია, ვებ-აპლიკაციის საჭიროებაზე ბევრად მეტი. არც ერთი მათგანი არ ეკუთვნის ჩვეულებრივი აპლიკაციის მიმაგრებების კრებულს და არც ერთი არ ჩანს მოსმენის პორტების დათვლისას.

მართვის მსმენელის ლოკალურ მისამართზე მიბმა დასაწყისია და არა სრული შეზღუდვა, რადგან ამ მისამართისკენ ყოველი შესვლის გზა კვლავ მნიშვნელოვანია. დაუშვით მხოლოდ განზრახული წყაროები და ინტერფეისები.

კონტეინერები ერთ ბირთვს იზიარებენ

კონტეინერები ამატებენ პროცესის, ფაილური სისტემისა და ქსელის საზღვრებს და ისინი ჰოსტთან ერთ ბირთვს იზიარებენ. ეს გადამწყვეტს ხდის შესაძლებლობების არჩევანს, ჰოსტის მიმაგრებებს და დემონზე წვდომას: ჰოსტის საიდუმლოებების მიმაგრება ან პრივილეგირებული გაშვების კონტროლის მიცემა შლის იმ საზღვარს, რომელსაც კონტეინერის ეტიკეტი მიანიშნებს. ცალკე VM-ები ნამდვილად აძლევენ ცალკე სტუმარ ბირთვებს, ხოლო ჰიპერვიზორი, ადმინისტრაციული იდენტობები, საცავი და სარეზერვო ასლები რჩება გაზიარებული. აირჩიეთ საზღვარი, რომლის კონფიგურაციასა და განახლებებს ჰყავს დასახელებული მფლობელი.

უფრო რთული მოწყობა, რომელსაც არავინ ინარჩუნებს, უარესია, ვიდრე მარტივი, რომელიც ნამდვილად გადაიხედება.

ჯერ შეამოწმეთ უარი, შემდეგ სერვისი

გამოიყენეთ დამტკიცებული შემოწმებები მუშაკის რეალურ კონტექსტში, რათა დაადასტუროთ, რომ მას არ შეუძლია VPN პოლიტიკის შეცვლა, არასაჭირო საიდუმლოებების წაკითხვა ან მართვის ინტერფეისზე შეხება. წარმატებული წაკითხვა ადმინისტრატორად არაფერს ამოწმებს ამ უარზე. შემდეგ გადაამოწმეთ ვებსაიტი, ჩვეულებრივი დაშვებული VPN ოპერაცია და რა ხდება თითოეულ მათგანთან გადატვირთვისას. შეინარჩუნეთ აღდგენის გზა, რომელიც არ არის დამოკიდებული VPN-ის შეკეთებაზე, რათა შეცდომა აღდგენადი დარჩეს.

ორივე როლი კვლავ იზიარებს CPU-ს, მეხსიერებას, აღმავალი არხის სიმძლავრეს და ტექნიკური მომსახურების მოვლენებს. ეს გაზიარებული რესურსები გეგმაში შედის მაშინაც, როცა უფლებამოსილების საზღვარი სუფთაა.

ჩაწერეთ, რისი გაკეთება შეუძლია თითოეულ პროცესს, რა იშლება მისი გაჩერებისას და რომელი საზღვარი რჩება გაზიარებული. პორტების რაოდენობა ეს ჩანაწერი არ არის.