그 취약점 발견은 어느 VPN 프로세스에 해당하나?

스캐너 결과는 주소, 포트, 그리고 그곳에서 협상된 무언가를 지목합니다. 그 소켓 뒤의 프로세스는 지목하지 않으며, VPN 호스트에서는 여러 프로세스가 시스템을 공유할 수 있지만 그중 터널은 하나뿐입니다. 보조 유틸리티에서 버전 문자열을 읽거나 디스크에서 라이브러리 파일을 찾는 것은 호스트에 대한 증거를 더할 뿐, 리스너에 대한 증거는 아닙니다. 발견 항목은 실행 중인 하나의 구성 요소에 연결되고 그다음 권고가 실제로 밝히는 범위와 대조될 때에만 조치 가능해집니다.

순서가 중요하며, 구성 요소가 먼저, 권고가 다음, 수정이 마지막입니다.

보고서는 프로그램이 아니라 포트를 지목한다

실제로 평가된 엔드포인트에서 시작하십시오. HTTPS 관리 포트에 대한 검사는 웹 서비스, 그 TLS 스택, 그리고 앞에 있는 프록시를 측정했을 뿐, 다른 포트의 OpenVPN이나 WireGuard 리스너에 대해서는 아무것도 알아내지 못했습니다. 리버스 프록시와 관리 에이전트는 인증서와 배너가 프런트엔드의 것일 수 있지만 취약한 라이브러리는 그 뒤 백엔드 프로세스에 있기 때문에 상황을 악화시킵니다.

결과와 함께 목적지, 전송, 포트, 서비스 이름을 기록하여 범위가 발견 항목과 함께 이동하게 하십시오.

실행 중인 빌드는 실제로 무엇인가

범용 호스트에서 설치된 패키지와 로드된 라이브러리는 별개의 질문입니다. 패키지 데이터베이스는 패치된 버전을 나열할 수 있지만 오래 실행되는 데몬은 여전히 이전 공유 객체를 메모리에 매핑해 두고 있으며, 번들 어플라이언스 이미지는 어떤 패키지 관리자도 보고하지 않는 자체 라이브러리를 담을 수 있습니다. 서비스 관리자에게 무엇이 실행 중인지 물은 다음 프로세스와 그 연결을 살펴보십시오.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

프로세스 목록의 시작 시간은 사람들이 건너뛰는 세부 사항입니다. 마지막 패키지 업그레이드 전에 시작된 데몬은 부팅 시 로드한 빌드를 여전히 실행하며, 인벤토리는 패치됐다고 하고 소켓은 다르게 말하는 경우가 바로 이때입니다.

빌드를 권고의 범위와 맞추기

권고는 제품, 버전, 때로는 필요한 조건을 설명하며, 이 세 필드가 항상 패키지 버전과 일치하지는 않습니다. OpenVPN의 2014년 사월 Heartbleed 권고는 영향을 받은 Access Server 릴리스와 노출 수준이 달랐던 웹 서비스 및 VPN 데몬을 구분하기 때문에 유용한 역사적 사례입니다. 교훈은 OpenSSL이라는 단어를 패턴 매칭하는 대신 글이 어느 구성 요소를 다루는지 읽는 것입니다.

그 권고도 오래되었습니다. 패치된 릴리스 번호는 이제 설치 조언이 아니며, 2014년에 수정된 결함은 오늘 운영하는 브랜치의 이후 문제에 대해 아무것도 말해 주지 않습니다.

불일치를 해소한 뒤 노출을 닫기

인벤토리와 평가가 어긋날 때는 둘 다 같은 엔드포인트와 같은 런타임을 설명하는지, 즉 다른 주소, 프런트엔드 프록시, 두 번째 서비스, 포트에 여전히 바인딩된 오래된 프로세스, 또는 패키지 관리자가 본 적 없는 번들 라이브러리를 확인하십시오. 보고서를 다시 쓰기 전에 그 경계에서 해결하십시오.

지원되는 수정을 적용하고, 영향을 받은 서비스를 재시작하고, 새 빌드가 지금 실행 중인지 확인하십시오. 디스크의 파일만 패치되고 이전 프로세스가 여전히 트래픽을 처리한다면 그것은 수정이 아닙니다.

다음으로 노출 기간 동안 구성 요소가 보유했을 수 있는 것을 다루십시오. 패치와 자격 증명 교체는 서로 다른 질문에 답하며, 영향을 받은 호스트 근처에 저장된 인증서는 그 자체로 유출된 내용의 목록이 아닙니다. 폐기, 세션 제거, 클라이언트 업데이트에 대해서는 사고 소유자의 절차를 따르고, 어느 구성 요소가 영향을 받았는지, 증거가 왜 적용되었는지, 무엇이 그것을 닫았는지 기록하십시오. 나중의 검토가 읽는 것은 바로 그 기록입니다.