Privāts ports neliecina par aiz tā esošo programmatūru

Tas ir saprātīgs instinkts: ja tikai VPN sasniedz SSH klausītāju, ietekme ir maza un problēma ir atrisināta. Tomēr ietekme nav vienāda ar integritāti. Pirmā puse ir patiesa, un otrā no tās neizriet. Sasniedzamība kontrolē, kas drīkst mēģināt savienojumu; programmatūras integritāte kontrolē, ko klausītājs darīs, kad to saņems. Vārti sašaurina auditoriju un neko nesaka par aiz tiem esošo kodu.

Privāts ports ir mazākas durvis, nevis cita slēdzene, un šī atšķirība nosaka, ko pārbaudīsit tālāk.

Divas kontroles, divi jautājumi

Tīkla ierobežojums samazina ietekmi. Tas atstāj atļautos lietotājus, un jebkuru kompromitētu apstiprinātu klientu, spējīgus sasniegt skarto pakalpojumu. Paketes labošana atjauno programmatūru, un tas arī nesašaurina pārāk plašu tīkla atļauju. Katra kontrole dara savu darbu, un katra var būt pareiza, kamēr trūkst otras. To aplūkošana kopā ir veids, kā komanda pārliecina sevi, ka viena aptver abas, un tā ir tieši tā kļūda, par ko ir šis raksts.

VPN galapunkts arī ir programmatūra, un tam ir tāds pats pienākums. Tā pievienošana ceļam ievieš savu uzturēšanas pienākumu un nenovērš piegādes ķēdes atbildību par neko aiz tā.

Ko XZ atklāšana patiešām parādīja

2024. gada marta XZ/liblzma atklāšana aprakstīja aizmugures durvis, kas skartos apstākļos varēja novest pie SSH servera kompromitēšanas. Tā bija programmatūras integritātes problēma ne mazāk kā ietekmes problēma, un tā nebija pierādījums, ka katra Linux instalācija saturēja ievainojamo būvējumu. Tvērums izriet no skartajām versijām un izplatītājiem, kas tās piegādāja, nevis no operētājsistēmas saimes nosaukuma.

Šī atšķirība ir atšķirība starp reaģēšanu uz incidentu un baumām, un ir vērts būt pedantiskiem šajā jautājumā.

Porta aizvēršana nav atjaunošana

Ja kompromitēšana jau varēja būt notikusi, sasniedzamības maiņa nav atjaunošana. Aizmugures durvis, kas tika izpildītas, jau ir ieguvušas savu iespēju; ugunsmūra noteikums neceļo atpakaļ laikā. Ievērojiet apstiprināto incidentu procesu saimniekdatoram un jebkuriem atklātiem akreditācijas datiem, un saglabājiet pierādījumus, kas vajadzīgi, lai noteiktu, kas patiešām tika izpildīts. Pārbūve no zināmiem labiem datu nesējiem parasti ir daļa no šīs sarunas.

Izmantojiet arī izplatītāja pašreizējo verificēto ieteikumu un labošanas procesu, un lasiet skarto versiju sarakstu, nevis virsrakstu. Vēsturiskas pazemināšanas komandas kopēšana nesaistītā vidē ir veids, kā labojums kļūst par jaunu ietekmi.

Pārbaudiet abus atsevišķi

Uzdodiet abus jautājumus ar saviem vārdiem. Kas var sasniegt klausītāju, un vai šī auditorija ir tieši tā, kurai pakalpojums paredzēts? Kura programmatūras versija ir instalēta, kas parakstīja artefaktu, un kā organizācija uzzina par sliktu laidienu, pirms to izlasa ziņās? Atbildes pieder dažādiem dokumentiem ar dažādiem īpašniekiem, un neviens īpašnieks nevar atbildēt otra vietā.

Pārvaldītam parkam programmatūras inventārs ir kontrole, kas vispār padara otro jautājumu atbildamu. Bez tā katra atklāšana kļūst par arheoloģijas projektu ar termiņu.

Vārti sašaurina auditoriju. Integritāte nosaka, vai auditorijai ir nozīme.