VPN პორტი ბენჩმარკმა მონიშნა? შეამოწმეთ კონტროლის ფარგლები

თქვენი სკანერი VPN პორტს მონიშნავს, ბილეთი ამას საჯარო მსმენელად გადმოსცემს, და შემდგომი კამათი იმაზეა, არის თუ არა გამოვლენა რეალური. აღმოჩენა იშვიათად ამბობს იმას, რასაც მკითხველი ვარაუდობს. ის ციტირებს ფიქსირებული ფარგლების ბენჩმარკის კონტროლს, და პორტის ნომერი მხოლოდ ერთი შემავალია ამ ფარგლებში.

წაიკითხეთ კონტროლი, სანამ პორტს დაიცავთ. აღმოჩენა, რომელიც განაჩენივით იკითხება, ჩვეულებრივ ერთ რესურსზე გამოყენებული პრედიკატია.

რას ციტირებს სინამდვილეში აღმოჩენის სტრიქონი

ყოველი ბენჩმარკის აღმოჩენა ოთხ რამეს ატარებს, რომელთა გამოყოფაც ღირს: დოკუმენტი და რევიზია, საიდანაც ის მოვიდა, შეფასებული რესურსი, პრედიკატი, რომელმაც შედეგი გამოიწვია, და დაფარვა, რომელიც აუდიტმა რეალურად მიაღწია. გუნდები ჩვეულებრივ მხოლოდ რესურსს ციტირებენ — უსაფრთხოების ჯგუფს ან ქსელის ACL-ს ან ჰოსტს — და შემდეგ პორტზე კამათობენ. პრედიკატი წყვეტს, იყო თუ არა თქვენი მსმენელი საერთოდ ფარგლებში. მის გარეშე თქვენ რიცხვზე კამათობთ წესის ნაცვლად.

Amazon Security Hub-ის დოკუმენტაცია ამ გამოყოფას ხილვადს ინახავს ფასიანი PDF-ის გარეშე:EC2 კონტროლების გვერდი ჩამოთვლის უსაფრთხოების ჯგუფების შემოწმებებს 22 და 3389 პორტებზე შეუზღუდავი წვდომისთვის და ქსელის ACL-ებს განიხილავს როგორც სხვა რესურსს საკუთარი პირობებით. იგივე ადმინისტრაციული პორტები, სხვა ობიექტი, სხვა ტესტი. ეს არის ის სიზუსტე, რომელსაც აღმოჩენა მემკვიდრეობით იღებს.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

გამოყავით საჯარო მსმენელი ადმინისტრაციული წვდომისგან

VPN მსმენელი, რომელიც ინტერნეტიდან UDP 1194-ს იღებს, და SSH სერვისი, რომელიც მხოლოდ დაშვების შემდეგ არის ხელმისაწვდომი, სხვადასხვა გამოვლენის გზებია. შემოწმება, რომელიც პირველს ფარავს, შეიძლება მეორეზე არაფერს ამბობდეს, და მეორეს დამფარავი შემოწმება შეიძლება პირველს უგულებელყოფდეს. ერთზე გავლილი შედეგი არ არის განაცხადი მეორეზე, რამდენადაც არ უნდა მსგავსად ჟღერდეს ისინი სტატუსის შეხვედრაზე.

თითოეული გზა განიხილეთ როგორც მისივე სტრიქონი მიმოხილვაში.

შემდეგ შეამოწმეთ, რას უშვებს თავად კარიბჭე. გვირაბის მიღება იგივე არ არის, რაც კარიბჭეზე ადმინისტრაციული უფლებების მინიჭება, და არც ერთი მათგანი არ უდრის მის უკან მდებარე სერვერზე მიღწევას. დაყავით კითხვა იმაზე, ვის შეუძლია დაკავშირება, ვის შეუძლია ადმინისტრირება და რას შეუძლია გვირაბს მიაღწიოს. ეს სამი პასუხი სხვადასხვა სისტემიდან მოდის და რუტინულად ერწყმის ერთ წინადადებას, რომლის მიხედვითაც ვერავინ იმოქმედებს.

რესურსი წყვეტს, არის თუ არა პორტი საერთოდ ფარგლებში

უსაფრთხოების ჯგუფის წესი, ქვექსელის ACL-ის ჩანაწერი და ჰოსტის ფაილერის წესი ყველა შეიძლება ტრაფიკს უშვებდეს, მაგრამ მათგან მხოლოდ ერთი შეიძლება იყოს ის ობიექტი, რომელსაც კონტროლი აფასებს. ეფექტური ნებართვა ნიშნავს პარალელური ჯგუფების, ორივე მისამართის ოჯახისა და მათ წინ მდგარი ნებისმიერი აკრძალვის წესის გაერთიანებას. პორტი, რომელიც ჯგუფის დონის შემოწმებაზე ვარდება, მაინც მიუწვდომელი შეიძლება იყოს, და პორტი, რომელიც მას გადის, მაინც უფრო შიგნით შეიძლება იყოს დაბლოკილი.

სწორედ აქ ფარსდება სხვა გარემოს წესების გადანერგვა. ქსელის ACL-ები უმდგომარეობოა და თანმიმდევრობით ფასდება; უსაფრთხოების ჯგუფები მდგომარეობას ინახავს და მხოლოდ უშვებს. ერთიდან ნათხოვარი წესების მოდელი მეორეს არ აღწერს, და მისი თარგმნა თავდაჯერებულ პასუხს იძლევა არასწორ ობიექტზე.

ჩაწერეთ გადაწყვეტილება, რათა შემდეგმა აუდიტმა ის ხელახლა გამოიყენოს

როცა ფარგლები ნამდვილად ორაზროვანია, ჩაწერეთ კონტროლის რევიზია, რესურსის იდენტიფიკატორი, ციტირებული პრედიკატი და მტკიცებულება, რომელმაც ის გადაწყვიტა. ჩართეთ რა გამორიცხეთ და რატომ. სწორედ ეს ჩანაწერი აძლევს მეორე რეცენზენტს საშუალებას იმავე დასკვნამდე მივიდეს მთელი ბენჩმარკის ხელახლა წაკითხვის გარეშე, და ეს არის ერთადერთი, რაც პერსონალის ცვლას გადაურჩება.

ჩანაწერი «VPN პორტი შემოწმებულია» იძლევა გარანტიას, რომ კამათი მომავალ კვარტალში დაბრუნდება. სამაგიეროდ დაასახელეთ შემფასებელი, რევიზია და მტკიცებულება.