VPN-Port vun engem Benchmark markéiert? Préift den Ëmfang vun der Kontroll

Äre Scanner markéiert de VPN-Port, den Ticket ëmschreift dat als ëffentleche Lauschterer, an d’Diskussioun déi duerno kënnt geet dorëms, ob d’Expositioun wierklech ass. De Befund seet seelen dat, wat de Lieser unhëlt. Hien zitéiert eng Benchmark-Kontroll mat engem festen Ëmfang, an d’Portnummer ass just eng Agab an deen Ëmfang.

Liest d’Kontroll, ier dir de Port verdeedegt. E Befund dee wéi en Urteel liest, ass meeschtens e Prädikat, dee op eng eenzeg Ressource ugewannt gëtt.

Wat d’Befundzeil tatsächlech zitéiert

All Benchmark-Befund dréit véier Saachen, déi et wäert ass ze trennen: d’Dokument an d’Revisioun aus deenen en entstanen ass, d’Ressource déi bewäert gouf, de Prädikat deen d’Resultat ausgeléist huet, an d’Couverture déi den Audit tatsächlech erreecht huet. D’Teamme zitéieren normalerweis just d’Ressource — eng Sécherheetsgrupp oder eng Netzwierk-ACL oder en Host — an duerno diskutéieren si iwwer de Port. De Prädikat entscheet, ob Äre Lauschterer iwwerhaapt am Ëmfang war. Ouni hien diskutéiert dir iwwer eng Zuel amplaz vun enger Regel.

D’Dokumentatioun vum Amazon Security Hub hält déi Trennung siichtbar ouni PDF hannert enger Bezuelmauer:d’Säit vun den EC2-Kontrollen zielt Sécherheetsgrupp-Préifunge fir onbeschränkten Zougang op de Porten 22 an 3389 op, a behandelt Netzwierk-ACLen als eng aner Ressource mat hiren eegenen Konditiounen. Déiselwecht Administratiounsporten, en anert Objet, en anere Test. Dat ass d’Granularitéit, déi e Befund ierft.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Trennt den ëffentleche Lauschterer vum administrativen Zougang

En VPN-Lauschterer, deen UDP 1194 aus dem Internet akzeptéiert, an en SSH-Service, deen eréischt no der Zoustimmung erreechbar ass, sinn ënnerschiddlech Expositiounsweeër. D’Préifung déi den éischten deckt, seet vläicht näischt iwwer den zweeten, an d’Préifung déi den zweeten deckt, ignoréiert vläicht den éischten. En erfollegräicht Resultat op engem ass keng Ausso iwwer den aneren, sou ähnlech wéi déi zwee och an enger Statusversammlung kléngen.

Behandelt all Wee als seng eege Zeil an der Iwwerpréiwung.

Préift duerno, wat d’Gateway selwer erlaabt. En Tunnel akzeptéieren ass net datselwecht wéi administrativ Rechter op der Gateway ze ginn, an ee vun deenen zwee ass net gläich wéi e Server hannert hir z’erreechen. Deelt d’Fro op a wien sech verbannen, wien administréieren an wat den Tunnel erreeche kann. Déi dräi Äntwerten kommen aus ënnerschiddleche Systemer a ginn routinéiert an engem Saz fusionéiert, op deen keen agéiere kann.

D’Ressource entscheet, ob de Port iwwerhaapt am Ëmfang ass

Eng Regel vun enger Sécherheetsgrupp, en Entrée an enger Subnetz-ACL an eng Regel vun enger Host-Firewall kënnen all Verkéier erlaben, awer nëmmen eng vun hinnen ass vläicht d’Objet, dee d’Kontroll bewäert. Effektiv Erlaabnis heescht parallel Gruppen, béid Adressfamilljen an all Verweigerungsregel virun hinnen ze kombinéieren. En Port deen eng Préifung op Gruppenniveau feelt, kann nach ëmmer onerreechbar sinn, an en Port deen se besteet, kann nach ëmmer méi déif blockéiert sinn.

Hei geet d’Transplantatioun vun den Reegele vun enger anerer Ëmwelt schief. Netzwierk-ACLen si zoustiewlos a ginn an der Rei bewäert; Sécherheetsgruppe si mat Zoustand a loosse just zou. E Regelmodell vun deem engen geléint beschreift deen aneren net, a seng Iwwersetzung liwwert eng selbstsécher Äntwert iwwer dat falscht Objet.

Schreift d’Entscheedung op, sou datt den nächsten Audit se weiderbenotzt

Wann den Ëmfang wierklech zweedeiteg ass, schreift d’Revisioun vun der Kontroll, den Identifiant vun der Ressource, de Prädikat wéi zitéiert an d’Beweis deen en opgeléist huet op. Huet och drop, wat dir ausgeschloss hutt a firwat. Dee Rekord ass et, deen engem zweeten Iwwerpréiwer erlaabt déiselwecht Konklusioun z’erreechen ouni de ganzen Benchmark nach eng Kéier ze liesen, an et ass dat eenzegt wat Personalwiessel iwwerlieft.

Eng Notiz mat «VPN-Port iwwerpréift» garantéiert, datt d’Diskussioun den nächsten Trimester erëm zeréckkënnt. Nennt amplaz den Evaluateur, d’Revisioun an d’Beweis.