Privatus prievadas neliudija už jo esančios programinės įrangos

Tai pagrįstas instinktas: jei tik VPN pasiekia SSH klausytoją, poveikis mažas ir problema išspręsta. Tačiau poveikis nelygu vientisumui. Pirmoji pusė teisinga, o antroji iš jos neišplaukia. Pasiekiamumas kontroliuoja, kas gali bandyti prisijungti; programinės įrangos vientisumas kontroliuoja, ką klausytojas darys gavęs prisijungimą. Vartai susiaurina auditoriją ir nieko nesako apie už jų esantį kodą.

Privatus prievadas yra mažesnės durys, o ne kita spyna, ir šis skirtumas lemia, ką tikrinsite toliau.

Dvi kontrolės, du klausimai

Tinklo apribojimas sumažina poveikį. Jis palieka leistus naudotojus ir bet kurį pažeistą patvirtintą klientą galinčius pasiekti paveiktą paslaugą. Paketo taisymas atkuria programinę įrangą, ir jis taip pat nesusiaurina per plačios tinklo teisės. Kiekviena kontrolė atlieka savo darbą, ir kiekviena gali būti teisinga, kol kitos trūksta. Jų nagrinėjimas kartu yra būdas, kuriuo komanda įtikina save, kad viena apima abi, ir tai yra būtent ta klaida, apie kurią šis tekstas.

VPN galinis taškas taip pat yra programinė įranga, ir jis turi tą pačią prievolę. Jo pridėjimas prie kelio įveda savo priežiūros prievolę ir nepanaikina tiekimo grandinės atsakomybės už nieką, kas yra už jo.

Ką iš tikrųjų parodė XZ atskleidimas

2024 m. kovo mėn. XZ/liblzma atskleidimas aprašė galines duris, kurios paveiktomis sąlygomis galėjo lemti SSH serverio pažeidimą. Tai buvo programinės įrangos vientisumo problema ne mažiau nei poveikio problema, ir tai nebuvo įrodymas, kad kiekviena Linux diegtis turėjo pažeidžiamą kūrinį. Apimtis kyla iš paveiktų versijų ir jas pateikusių distribucijų, o ne iš operacinės sistemos šeimos pavadinimo.

Šis skirtumas yra skirtumas tarp reagavimo į incidentą ir gando, ir verta dėl to būti pedantiškiems.

Prievado uždarymas nėra atkūrimas

Jei pažeidimas galėjo jau įvykti, pasiekiamumo keitimas nėra atkūrimas. Įvykdytos galinės durys jau turėjo savo progą; ugniasienės taisyklė keliauja ne atgal laiku. Laikykitės patvirtintos incidentų procedūros dėl pagrindinio kompiuterio ir visų atskleistų prisijungimo duomenų, ir išsaugokite įrodymus, reikalingus nustatyti, kas iš tikrųjų buvo įvykdyta. Perkūrimas iš žinomų gerų laikmenų paprastai yra to pokalbio dalis.

Taip pat naudokitės dabartiniu patvirtintu distribucijos patarimu ir taisymo procesu, ir skaitykite paveiktų versijų sąrašą, o ne antraštę. Istorinės versijos sumažinimo komandos kopijavimas į nesusijusią aplinką yra būdas, kuriuo pataisymas tampa nauju poveikiu.

Peržiūrėkite abi atskirai

Užduokite du klausimus jų pačių terminais. Kas gali pasiekti klausytoją, ir ar ta auditorija yra būtent ta, kuriai paslauga skirta? Kokia programinės įrangos versija įdiegta, kas pasirašė artefaktą, ir kaip organizacija sužino apie blogą leidimą prieš perskaitydama apie jį naujienose? Atsakymai priklauso skirtingiems dokumentams su skirtingais savininkais, ir nė vienas savininkas negali atsakyti už kitą.

Valdomam parkui programinės įrangos inventorius yra kontrolė, kuri apskritai leidžia atsakyti į antrąjį klausimą. Be jo kiekvienas atskleidimas tampa archeologijos projektu su terminu.

Vartai susiaurina auditoriją. Vientisumas nusprendžia, ar auditorija svarbi.