VPN порты бенчмаркпен белгіленді ме? Бақылау ауқымын тексеріңіз

Сканеріңіз VPN портын белгілейді, тикет мұны жария тыңдаушы ретінде қайта жеткізеді, ал келесі пікірталас әшкереленудің шынайылығы туралы. Нәтиже оқырман күтетін нәрсені сирек айтады. Ол белгіленген ауқымдағы бенчмарк бақылауын келтіреді, ал порт нөмірі сол ауқымға кіретін бір ғана кіріс.

Портты қорғамас бұрын бақылауды оқыңыз. Үкім сияқты оқылатын нәтиже әдетте бір ресурсқа қолданылған предикат.

Нәтиже жолы шын мәнінде нені келтіреді

Әр бенчмарк нәтижесі бөліп қарауға тұрарлық төрт нәрсені алып жүреді: ол келген құжат пен ревизия, бағаланған ресурс, нәтижені тудырған предикат және аудит шын мәнінде қол жеткізген қамту. Топтар әдетте тек ресурсты келтіреді — қауіпсіздік тобы немесе желілік ACL немесе хост — содан кейін порт туралы дауласады. Предикат сіздің тыңдаушыңыздың ауқымда болғанын шешеді. Онсыз сіз ереже емес, сан туралы дауласасыз.

Amazon Security Hub құжаттамасы бұл бөлуді ақылы PDF-сіз көрінетін етіп ұстайды:EC2 бақылаулар беті22 және 3389 порттарында шексіз қатынас үшін қауіпсіздік топтарының тексерулерін тізіп, желілік ACL-дарды өз шарттары бар бөлек ресурс ретінде қарастырады. Сол әкімшілік порттар, басқа нысан, басқа тест. Нәтиже мұра ететін дәлдік деңгейі осы.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Жария тыңдаушыны әкімшілік қатынастан бөліңіз

Интернеттен UDP 1194 қабылдайтын VPN тыңдаушысы мен рұқсаттан кейін ғана қолжетімді SSH қызметі — әртүрлі әшкерелеу жолдары. Біріншісін қамтитын тексеру екіншісі туралы ештеңе айтпауы мүмкін, ал екіншісін қамтитын тексеру біріншісін елемеуі мүмкін. Біреуіндегі сәтті нәтиже екіншісі туралы мәлімдеме емес, екеуі статус жиналысында қаншалықты ұқсас естілсе де.

Шолуда әр жолды өз жолы ретінде қарастырыңыз.

Содан кейін қақпаның өзі нені рұқсат ететінін тексеріңіз. Туннельді қабылдау қақпада әкімшілік құқық берумен бірдей емес, және екеуінің ешқайсысы оның артындағы серверге жетуге тең емес. Сұрақты кім қосыла алады, кім әкімшілік ете алады және туннель неге жете алады деп бөліңіз. Бұл үш жауап әртүрлі жүйелерден келеді және әдетте ешкім әрекет ете алмайтын бір сөйлемге біріктіріледі.

Порттың ауқымда болуын ресурс шешеді

Қауіпсіздік тобының ережесі, ішкі желі ACL жазбасы және хосттың брандмауэр ережесі трафикті рұқсат ете алады, бірақ олардың тек біреуі бақылау бағалайтын нысан болуы мүмкін. Тиімді рұқсат дегеніміз параллель топтарды, екі мекенжай тобын және олардың алдында тұрған кез келген тыйым ережесін біріктіру. Топ деңгейіндегі тексеруден өтпейтін порт әлі де қолжетімсіз болуы мүмкін, ал одан өтетін порт тереңірек бұғатталуы мүмкін.

Дәл осында басқа ортаның ережелерін көшіру қатеге ұрынады. Желілік ACL-дар күйсіз және ретімен бағаланады; қауіпсіздік топтары күй сақтайды және тек рұқсат етеді. Біреуінен алынған ереже моделі екіншісін сипаттамайды, ал оны аудару қате нысан туралы сенімді жауап береді.

Шешімді жазып қойыңыз, келесі аудит оны қайта қолдансын

Ауқым шынымен екіұшты болса, бақылау ревизиясын, ресурс идентификаторын, келтірілген предикатты және оны шешкен дәлелді жазыңыз. Нені және неге алып тастағаныңызды қосыңыз. Дәл осы жазба екінші рецензентке бүкіл бенчмаркты қайта оқымай-ақ сол қорытындыға келуге мүмкіндік береді және қызметкерлер ауысқанда сақталатын жалғыз нәрсе.

«VPN порты тексерілді» деген жазба пікірталастың келесі тоқсанда қайтатынына кепілдік береді. Оның орнына бағалаушыны, ревизияны және дәлелді атаңыз.