VPN prievadas pažymėtas etalonu? Patikrinkite kontrolės apimtį

Jūsų skaitytuvas pažymi VPN prievadą, bilietas tai perfrazuoja kaip viešą klausytoją, o tolesnis ginčas yra apie tai, ar pavojus tikras. Radinys retai pasako tai, ką skaitytojas daro prielaidą. Jis cituoja etalono kontrolę su fiksuota apimtimi, o prievado numeris yra tik viena įvestis į tą apimtį.

Perskaitykite kontrolę prieš gindami prievadą. Radinys, skaitomas kaip nuosprendis, paprastai yra predikatas, pritaikytas vienam ištekliui.

Ką radinio eilutė iš tikrųjų cituoja

Kiekvienas etalono radinys neša keturis dalykus, kuriuos verta atskirti: dokumentą ir reviziją, iš kurių jis kilo, įvertintą išteklių, predikatą, kuris sukėlė rezultatą, ir aprėptį, kurią auditas iš tikrųjų pasiekė. Komandos paprastai cituoja tik išteklių — saugos grupę ar tinklo ACL, arba hostą — ir tada ginčijasi dėl prievado. Predikatas nusprendžia, ar jūsų klausytojas apskritai buvo apimtyje. Be jo jūs ginčijatės dėl skaičiaus, o ne dėl taisyklės.

Amazon Security Hub dokumentacija išlaiko šį atskyrimą matomą be mokamo PDF:EC2 kontrolių puslapis išvardija saugos grupių patikras dėl neribojamos prieigos prie 22 ir 3389 prievadų ir tinklo ACL laiko atskiru ištekliumi su savo sąlygomis. Tie patys administravimo prievadai, kitas objektas, kitas testas. Tai yra detalumas, kurį radinys paveldi.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Atskirkite viešą klausytoją nuo administracinės prieigos

VPN klausytojas, priimantis UDP 1194 iš interneto, ir SSH paslauga, pasiekiama tik po priėmimo, yra skirtingi pavojaus keliai. Patikra, apimanti pirmąjį, gali nieko nesakyti apie antrąjį, o antrajį apimanti patikra gali ignoruoti pirmąjį. Sėkmingas rezultatas viename nėra teiginys apie kitą, kad ir kaip panašiai jie skambėtų statuso susirinkime.

Kiekvieną kelią traktuokite kaip atskirą peržiūros eilutę.

Tada patikrinkite, ką leidžia pats šliuzas. Tunelio priėmimas nėra tas pats, kas administracinių teisių suteikimas šliuze, ir nė viena iš to nelygu serverio už jo pasiekimui. Padalykite klausimą į tai, kas gali prisijungti, kas gali administruoti ir ką tunelis gali pasiekti. Šie trys atsakymai ateina iš skirtingų sistemų ir įprastai suliejami į vieną sakinį, pagal kurį niekas negali veikti.

Išteklius nusprendžia, ar prievadas apskritai yra apimtyje

Saugos grupės taisyklė, potinklio ACL įrašas ir hosto ugniasienės taisyklė gali leisti srautą, tačiau tik viena iš jų gali būti objektas, kurį vertina kontrolė. Veiksmingas leidimas reiškia lygiagrečių grupių, abiejų adresų šeimų ir bet kokios draudimo taisyklės prieš jas sujungimą. Prievadas, nepraėjęs grupės lygio patikros, vis tiek gali būti nepasiekiamas, o jį praėjęs prievadas vis tiek gali būti užblokuotas giliau.

Čia persodinant kitos aplinkos taisykles viskas sugenda. Tinklo ACL neturi būsenos ir vertinami eilės tvarka; saugos grupės turi būseną ir tik leidžia. Iš vienos pasiskolintas taisyklių modelis neaprašo kitos, o jo vertimas duoda užtikrintą atsakymą apie netinkamą objektą.

Užrašykite sprendimą, kad kitas auditas jį naudotų

Kai apimtis tikrai dviprasmiška, užrašykite kontrolės reviziją, ištekliaus identifikatorių, cituotą predikatą ir įrodymą, kuris tai išsprendė. Įtraukite, ką atmetėte ir kodėl. Šis įrašas leidžia antram recenzentui prieiti prie tos pačios išvados neskaitant viso etalono, ir tai vienintelis dalykas, kuris išlieka keičiantis darbuotojams.

Užrašas „VPN prievadas peržiūrėtas“ garantuoja, kad ginčas grįš kitą ketvirtį. Vietoj to įvardykite vertintoją, reviziją ir įrodymą.