კერძო პორტი არ ადასტურებს მის უკან არსებულ პროგრამულ უზრუნველყოფას

ეს გონივრული ინსტინქტია: თუ მხოლოდ VPN აღწევს SSH მსმენელამდე, ზემოქმედება მცირეა და პრობლემა მოგვარებულია. თუმცა ზემოქმედება მთლიანობის ტოლი არ არის. პირველი ნახევარი მართალია, მეორე კი მისგან არ გამომდინარეობს. მისაწვდომობა აკონტროლებს, ვის შეუძლია კავშირის ცდა; პროგრამული უზრუნველყოფის მთლიანობა აკონტროლებს, რას გააკეთებს მსმენელი, როცა კავშირს მიიღებს. კარიბჭე ავიწროებს აუდიტორიას და არაფერს ამბობს მის უკან არსებულ კოდზე.

კერძო პორტი უფრო პატარა კარია, და არა სხვა საკეტი, და ეს განსხვავება განსაზღვრავს, რას შეამოწმებთ შემდეგ.

ორი კონტროლი, ორი კითხვა

ქსელური შეზღუდვა ამცირებს ზემოქმედებას. ის ნებადართულ მომხმარებლებს და ნებისმიერ კომპრომეტირებულ დამტკიცებულ კლიენტს ტოვებს დაზარალებულ სერვისამდე მისვლის შესაძლებლობით. პაკეტის გასწორება აღადგენს პროგრამულ უზრუნველყოფას და ის ასევე არ ავიწროებს ზედმეტად ფართო ქსელურ ნებართვას. თითოეული კონტროლი თავის საქმეს აკეთებს და თითოეული შეიძლება იყოს სწორი, სანამ მეორე აკლია. მათი ერთად განხილვა ის გზაა, რომლითაც გუნდი საკუთარ თავს არწმუნებს, რომ ერთი ორივეს ფარავს, და სწორედ ეს არის ის შეცდომა, რომელზეც ეს ნაწერია.

VPN-ის საბოლოო წერტილი ასევე პროგრამული უზრუნველყოფაა და იგივე ვალდებულებას ატარებს. მისი ბილიკში დამატება შემოაქვს საკუთარ მომსახურების ვალდებულებას და არ აცილებს მიწოდების ჯაჭვის პასუხისმგებლობას მის უკან არსებულ არაფერზე.

რა რეალურად აჩვენა XZ-ის გამჟღავნებამ

2024 წლის მარტში XZ/liblzma-ს გამჟღავნებამ აღწერა უკანა კარი, რომელსაც დაზარალებულ პირობებში SSH სერვერის კომპრომეტაციამდე მიყვანა შეეძლო. ეს იყო პროგრამული უზრუნველყოფის მთლიანობის პრობლემა იმდენად, რამდენადაც ზემოქმედების პრობლემა, და არ იყო მტკიცებულება, რომ ყველა Linux ინსტალაციას დაუცველი აწყობა ჰქონდა. მოცულობა მოდის დაზარალებული ვერსიებიდან და მათი მომწოდებელი დისტრიბუციებიდან, და არა ოპერაციული სისტემის ოჯახის სახელიდან.

ეს განსხვავება არის სხვაობა ინციდენტზე რეაგირებასა და ჭორებს შორის, და ღირს ამაში პედანტური ყოფნა.

პორტის დახურვა აღდგენა არ არის

თუ კომპრომეტაცია შესაძლოა უკვე მომხდარა, მისაწვდომობის შეცვლა აღდგენა არ არის. უკანა კარს, რომელიც შესრულდა, უკვე ჰქონდა თავისი შანსი; ხანძარსაწინააღმდეგო კედლის წესი დროში უკან არ მოგზაურობს. მიჰყევით დამტკიცებულ ინციდენტის პროცესს ჰოსტისა და ნებისმიერი გამჟღავნებული ავტორიზაციის მონაცემისთვის, და შეინარჩუნეთ მტკიცებულებები, რომლებიც საჭიროა იმის დასადგენად, თუ რა შესრულდა რეალურად. ცნობილი კარგი მატარებლებიდან გადაწყობა ჩვეულებრივ ამ საუბრის ნაწილია.

ასევე გამოიყენეთ დისტრიბუციის მიმდინარე დამოწმებული რჩევა და აღდგენის პროცესი, და წაიკითხეთ დაზარალებული ვერსიების სია და არა სათაური. ისტორიული დაქვეითების ბრძანების ურთიერთდაუკავშირებელ გარემოში კოპირება ის გზაა, რომლითაც გასწორება ახალ ზემოქმედებად იქცევა.

განიხილეთ ორივე, ცალ-ცალკე

დასვით ორი კითხვა მათივე პირობებით. ვის შეუძლია მსმენელამდე მისვლა და არის თუ არა ეს აუდიტორია ზუსტად ის, რისთვისაც სერვისია განკუთვნილი? პროგრამული უზრუნველყოფის რომელი ვერსიაა დაყენებული, ვინ მოაწერა ხელი არტეფაქტს და როგორ შეიტყობს ორგანიზაცია ცუდი გამოშვების შესახებ სანამ ამბებში წაიკითხავს? პასუხები სხვადასხვა დოკუმენტს ეკუთვნის სხვადასხვა მფლობელით, და არცერთ მფლობელს არ შეუძლია მეორის ნაცვლად პასუხის გაცემა.

მართული ფლოტისთვის პროგრამული უზრუნველყოფის ინვენტარი არის ის კონტროლი, რომელიც მეორე კითხვას საერთოდ პასუხისმგებელს ხდის. მის გარეშე ყოველი გამჟღავნება ვადის მქონე არქეოლოგიურ პროექტად იქცევა.

კარიბჭე ავიწროებს აუდიტორიას. მთლიანობა წყვეტს, აქვს თუ არა აუდიტორიას მნიშვნელობა.