VPN порту бенчмарк менен белгилендиби? Көзөмөлдүн аймагын текшериңиз

Сканериңиз VPN портун белгилейт, билет муну коомдук угуучу катары кайра айтат, ал эми кийинки талкуу ачыкка чыгуу чындыгында барбы деген жөнүндө. Жыйынтык окурман күткөндү сейрек айтат. Ал белгиленген аймагы бар бенчмарк көзөмөлүн келтирет, порт номери ошол аймакка кирген бир гана киргизүү.

Портту коргоодон мурун көзөмөлдү окуңуз. Өкүмдөй окулган жыйынтык адатта бир ресурска колдонулган предикат.

Жыйынтык сабы чындыгында эмнени келтирет

Ар бир бенчмарк жыйынтыгы бөлүп кароого татыктуу төрт нерсени алып жүрөт: ал келген документ жана ревизия, бааланган ресурс, жыйынтыкты пайда кылган предикат жана аудит чындыгында жеткиликтүү камтуу. Топтор адатта ресурсту гана келтиришет — коопсуздук тобун же тармактык ACLди же хостту — анан порт жөнүндө талашат. Предикат сенин угуучуң аймакта болгонун чечет. Ансыз сиз эреже эмес, сан жөнүндө талашасыз.

Amazon Security Hub документтери бул бөлүүнү акы төлөнүүчү PDFсиз көрүнүктүү кармайт:EC2 көзөмөлдөр бети22 жана 3389 портторунда чектелбеген кирүү үчүн коопсуздук топторунун текшерүүлөрүн тизмелейт жана тармактык ACLдерди өз шарттары бар өзүнчө ресурс катары карайт. Ошол эле административдик порттор, башка объект, башка тест. Жыйынтык мураска алган тактык деңгээли ушул.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Коомдук угуучуну административдик кирүүдөн бөлүңүз

Интернеттен UDP 1194 кабыл алган VPN угуучусу жана уруксаттан кийин гана жеткиликтүү SSH кызматы — ар башка ачыкка чыгуу жолдору. Биринчисин камтыган текшерүү экинчиси жөнүндө эч нерсе айтпашы мүмкүн, ал эми экинчисин камтыган текшерүү биринчисин этибарга албашы мүмкүн. Бирөөндө өткөн жыйынтык экинчиси жөнүндө билдирүү эмес, экөө статус жыйынында канчалык окшош угулса да.

Сын-пикирде ар бир жолду өзүнүн сабы катары караңыз.

Анан дарбазанын өзү эмнени уруксат кыларын текшериңиз. Туннелди кабыл алуу дарбазада административдик укук берүү менен бирдей эмес, жана экөөнүн эч бири анын артындагы серверге жетүүгө барабар эмес. Суроону ким туташа алат, ким административдик кыла алат жана туннель эмнеге жете алат деп бөлүңүз. Бул үч жооп ар башка системалардан келет жана эч ким аракет кыла албай турган бир сүйлөмгө бириктирилет.

Порттун аймакта болушун ресурс чечет

Коопсуздук тобунун эрежеси, ички тармактын ACL жазуусу жана хосттун брандмауэр эрежеси трафикти уруксат кылышы мүмкүн, бирок алардын бири гана көзөмөл баалаган объект болушу мүмкүн. Натыйжалуу уруксат дегенибиз параллелдүү топторду, эки дарек үй-бүлөсүн жана алардын алдындагы каалаган тыюу эрежесин бириктирүү. Топ деңгээлиндеги текшерүүдөн өтпөгөн порт дагы эле жеткиликсиз болушу мүмкүн, ал эми андан өткөн порт тереңирээк тоскоол болушу мүмкүн.

Так ушул жерде башка чөйрөнүн эрежелерин көчүрүү жаңылышат. Тармактык ACLдер абалсыз жана ирети менен бааланат; коопсуздук топтору абалды сактайт жана гана уруксат кылат. Бирөөнөн алынган эреже модели экинчисин сүрөттөбөйт, жана аны которуу туура эмес объект жөнүндө ишенимдүү жооп берет.

Чечимди жазып коюңуз, кийинки аудит аны кайра колдонсун

Аймак чындыгында эки маанилүү болгондо, көзөмөлдүн ревизиясын, ресурстун идентификаторун, келтирилген предикатты жана аны чечкен далилди жазыңыз. Эмнени жана эмне үчүн чыгарып салганыңызды кошуңуз. Ушул жазуу экинчи рецензентке бүт бенчмаркты кайра окубастан эле ошол эле тыянакка келүүгө мүмкүндүк берет жана кызматкерлер алмашканда сакталып калган жалгыз нерсе.

«VPN порту текшерилди» деген жазуу талкуунун кийинки чейректе кайтып келерине кепилдик берет. Анын ордуна баалоочуну, ревизияны жана далилди атаңыз.