Ugunsmūris starp portiem nav resursdatora robeža

Tīmekļa vietne atbild uz 443, VPN atbild uz 1194, ugunsmūris atļauj tieši šos divus, un pārskats iztur. Nekas šajā secībā nejautāja, ko tīmekļa darbinieks var lasīt vai kuras datnes var pārrakstīt. Kompromitētam darbiniekam nav vajadzīgs atvērts ports, ja tas var sasniegt vadības ligzdu vai rakstāmu konfigurācijas mapi. Robeža ir pilnvaras, un klausītāji ir tikai viegli saskatāmā daļa.

Atsevišķs pakalpojuma nosaukums ir etiķete; atsevišķa identitāte ir drošības īpašība.

Skaitiet darbinieka pilnvaras, nevis portus

Sāciet ar izpildlaika lietotāju, tā grupām, spējām un datņu sistēmas skatījumu. Pakalpojuma konts, kas nejauši pieder VPN grupai, var lasīt atslēgas materiālu bez neviena atvērta porta. Rakstāmi montāžas punkti ir otra puse: augšupielādēm un kešatmiņām jāatrodas tālu no politikas datnēm un noslēpumiem, un nevajadzīgi koplietota rakstāma mape iznīcina kārtīgu nosaukumu piešķiršanu. Pārbaudiet procesu, kas veiktu darbību, jo privileģēts vecāks un neprivileģēti darbinieki nedala vienas pilnvaras.

Tas, ka VPN atslēga ir lasāma dēmona palaišanas laikā, nenozīmē, ka tīmekļa darbiniekam tā ir vajadzīga. Atšķiriet dēmona veikto lasīšanu no piekļuves, kas piešķirta lietojumprogrammai.

Ligzdas, kas dod vairāk, nekā izskatās

Daži galapunkti ir administratīvas API metrikas plūsmas kostīmā. VPN pārvaldības saskarne var mainīt sesijas, atvienot klientus un lasīt stāvokli. Konteineru izpildlaika ligzda ir vēl plašāka: piekļuve tai faktiski ir resursdatora kontrole, krietni vairāk, nekā nepieciešams tīmekļa lietojumprogrammai. Neviens no tiem nepieder parastas lietojumprogrammas montāžas kopai, un neviens neparādās, skaitot klausošos portus.

Pārvaldības klausītāja piesaiste vietējai adresei ir sākums, nevis pilnīgs ierobežojums, jo katrs ieceļošanas ceļš uz šo adresi joprojām ir svarīgs. Atļaujiet tikai paredzētos avotus un saskarnes.

Konteineri dala vienu kodolu

Konteineri pievieno procesa, datņu sistēmas un tīkla robežas, un tie dala vienu kodolu ar resursdatoru. Tas padara izšķirošu spēju izvēli, resursdatora montāžas punktus un piekļuvi dēmonam: resursdatora noslēpumu montāža vai privileģētas izpildlaika kontroles piešķiršana izdzēš robežu, ko liecina konteinera etiķete. Atsevišķas VM patiešām dod atsevišķus viesa kodolus, kamēr hipervizors, administratīvās identitātes, krātuve un dublējumi paliek koplietoti. Izvēlieties robežu, kuras konfigurācijai un atjauninājumiem ir nosaukts īpašnieks.

Sarežģītāks izkārtojums, ko neviens neuztur, ir sliktāks par vienkāršu, kas tiešām tiek pārskatīts.

Vispirms pārbaudiet atteikumu, tad pakalpojumu

Izmantojiet apstiprinātas pārbaudes darbinieka reālajā kontekstā, lai apstiprinātu, ka tas nevar mainīt VPN politiku, lasīt nevajadzīgus noslēpumus vai aizskart pārvaldības saskarni. Veiksmīga lasīšana administratora tiesībās neko nepārbauda par šo atteikumu. Pēc tam pārbaudiet tīmekļa vietni, parastu atļautu VPN darbību un to, kas notiek ar katru pēc restartēšanas. Saglabājiet atkopšanas ceļu, kas nav atkarīgs no VPN labošanas, lai kļūda paliktu labojama.

Abas lomas joprojām dala CPU, atmiņu, augšupielādes joslas kapacitāti un apkopes notikumus. Šie koplietotie resursi pieder pie plāna arī tad, kad pilnvaru robeža ir tīra.

Pierakstiet, ko var darīt katrs process, kas sabojājas, ja tas apstājas, un kura robeža paliek koplietota. Portu skaits nav šis pieraksts.