Ugniasienė tarp prievadų nėra hosto riba
Du atviri prievadai ir viena ugniasienės taisyklė praleidžia svarbiausia: ką žiniatinklio darbuotojas gali skaityti ir valdyti. Tikrinkite atsisakymą, ne tik paslaugą.
Svetainė atsako 443, VPN atsako 1194, ugniasienė praleidžia būtent šiuos du, ir peržiūra praeina. Niekas toje sekoje nepaklausė, ką žiniatinklio darbuotojas gali skaityti ar kuriuos failus gali perrašyti. Pažeistam darbuotojui nereikia atviro prievado, jei jis gali pasiekti valdymo lizdą ar rašomą konfigūracijos katalogą. Riba yra įgaliojimai, o klausytojai tėra lengvai matoma dalis.
Atskiras paslaugos pavadinimas yra etiketė; atskira tapatybė yra saugumo savybė.
Skaičiuokite darbuotojo įgaliojimus, ne prievadus
Pradėkite nuo vykdymo naudotojo, jo grupių, galimybių ir failų sistemos vaizdo. Paslaugos paskyra, kuri atsitiktinai priklauso VPN grupei, gali skaityti raktų medžiagą be jokio atviro prievado. Rašomi prijungimai yra kita pusė: įkėlimai ir podėliai turi būti toli nuo politikos failų ir paslapčių, o be reikalo bendrinamas rašomas katalogas sugriauna tvarkingą pavadinimų suteikimą. Patikrinkite procesą, kuris atliktų operaciją, nes privilegijuotas tėvas ir neprivilegijuoti darbuotojai nesidalija vienais įgaliojimais.
Tai, kad VPN raktas įskaitomas paleidžiant tarnybą, nereiškia, kad žiniatinklio darbuotojui jo reikia. Atskirkite tarnybos atliekamą skaitymą nuo prieigos, suteikiamos programai.
Lizdai, kurie duoda daugiau, nei atrodo
Kai kurie galiniai taškai yra administracinės API, apsirengusios metrikų srautu. VPN valdymo sąsaja gali keisti sesijas, atjungti klientus ir skaityti būseną. Konteinerių vykdymo lizdas dar platesnis: prieiga prie jo iš esmės yra hosto valdymas, gerokai daugiau, nei reikia žiniatinklio programai. Nė vienas nepriklauso įprastos programos prijungimų rinkiniui, ir nė vienas neatsiranda skaičiuojant klausančius prievadus.
Valdymo klausytojo priskyrimas vietiniam adresui yra pradžia, o ne visiškas apribojimas, nes kiekvienas įėjimo kelias į tą adresą vis dar svarbus. Leiskite tik numatytus šaltinius ir sąsajas.
Konteineriai dalijasi vienu branduoliu
Konteineriai prideda proceso, failų sistemos ir tinklo ribas, ir jie dalijasi vienu branduoliu su hostu. Tai lemia galimybių pasirinkimą, hosto prijungimus ir prieigą prie tarnybos: hosto paslapčių prijungimas ar privilegijuotos vykdymo kontrolės suteikimas ištrina ribą, kurią siūlo konteinerio etiketė. Atskiros VM tikrai suteikia atskirus svečio branduolius, o hipervizorius, administracinės tapatybės, saugykla ir atsarginės kopijos lieka bendros. Rinkitės ribą, kurios konfigūracija ir atnaujinimai turi įvardytą savininką.
Sudėtingesnė tvarka, kurios niekas neprižiūri, yra blogesnė už paprastą, kuri tikrai peržiūrima.
Pirmiausia patikrinkite atsisakymą, paskui paslaugą
Naudokite patvirtintus patikrinimus tikroje darbuotojo aplinkoje, kad patvirtintumėte, jog jis negali keisti VPN politikos, skaityti nereikalingų paslapčių ar liesti valdymo sąsajos. Sėkmingas skaitymas administratoriaus teisėmis nieko nepatikrina dėl šio atsisakymo. Tada patikrinkite svetainę, įprastą leidžiamą VPN operaciją ir kas atsitinka su kiekviena perkraunant. Išsaugokite atkūrimo kelią, kuris nepriklauso nuo VPN taisymo, kad klaida liktų ištaisoma.
Abu vaidmenys vis dar dalijasi CPU, atmintimi, išėjimo kanalo pralaidumu ir priežiūros įvykiais. Tie bendri ištekliai priklauso planui net tada, kai įgaliojimų riba švari.
Užrašykite, ką gali daryti kiekvienas procesas, kas sugenda jam sustojus ir kuri riba lieka bendra. Prievadų skaičius nėra tas užrašas.