VPN ports atzīmēts ar etalonu? Pārbaudiet kontroles tvērumu

Jūsu skeneris atzīmē VPN portu, pieteikums to pārfrāzē kā publisku klausītāju, un sekojošais strīds ir par to, vai pakļaušana ir reāla. Konstatējums reti saka to, ko pieņem lasītājs. Tas citē etalona kontroli ar fiksētu tvērumu, un porta numurs ir tikai viena ievade šajā tvērumā.

Izlasiet kontroli pirms porta aizstāvēšanas. Konstatējums, kas lasās kā spriedums, parasti ir predikāts, kas piemērots vienam resursam.

Ko konstatējuma rinda faktiski citē

Katrs etalona konstatējums nes četras lietas, ko ir vērts atdalīt: dokumentu un revīziju, no kuriem tas nāk, novērtēto resursu, predikātu, kas izraisīja rezultātu, un pārklājumu, ko audits faktiski sasniedza. Komandas parasti citē tikai resursu — drošības grupu vai tīkla ACL, vai resursdatoru — un tad strīdas par portu. Predikāts izlemj, vai jūsu klausītājs vispār bija tvērumā. Bez tā jūs strīdaties par skaitli, nevis par noteikumu.

Amazon Security Hub dokumentācija saglabā šo atdalījumu redzamu bez maksas PDF:EC2 kontroļu lapa uzskaita drošības grupu pārbaudes neierobežotai piekļuvei portos 22 un 3389 un tīkla ACL uzskata par citu resursu ar saviem nosacījumiem. Tie paši administrācijas porti, cits objekts, cits tests. Tā ir detalizācija, ko konstatējums pārmanto.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Atdaliet publisko klausītāju no administratīvās piekļuves

VPN klausītājs, kas pieņem UDP 1194 no interneta, un SSH pakalpojums, kas sasniedzams tikai pēc uzņemšanas, ir dažādi pakļaušanas ceļi. Pārbaude, kas aptver pirmo, var neko neteikt par otro, un pārbaude, kas aptver otro, var ignorēt pirmo. Veiksmīgs rezultāts vienā nav apgalvojums par otru, lai cik līdzīgi abi izklausītos statusa sanāksmē.

Uzskatiet katru ceļu par savu rindu pārskatā.

Pēc tam pārbaudiet, ko atļauj pati vārteja. Tuneli pieņemt nav tas pats, kas piešķirt administratīvās tiesības uz vārteju, un neviens no šiem nav vienāds ar servera aiz tās sasniegšanu. Sadaliet jautājumu: kas var pieslēgties, kas var administrēt un ko tunelis var sasniegt. Šīs trīs atbildes nāk no dažādām sistēmām un tiek rutīniski sapludinātas vienā teikumā, pēc kura neviens nevar rīkoties.

Resurss izlemj, vai ports vispār ir tvērumā

Drošības grupas noteikums, apakštīkla ACL ieraksts un resursdatora ugunsmūra noteikums visi var atļaut datplūsmu, tomēr tikai viens no tiem var būt objekts, ko izvērtē kontrole. Efektīva atļauja nozīmē apvienot paralēlas grupas, abas adrešu saimes un jebkuru aizlieguma noteikumu to priekšā. Ports, kas neiztur pārbaudi grupas līmenī, joprojām var būt nesasniedzams, un ports, kas to iztur, joprojām var būt bloķēts dziļāk.

Šeit neizdodas citas vides noteikumu pārstādīšana. Tīkla ACL ir bez stāvokļa un tiek izvērtēti secībā; drošības grupas ir ar stāvokli un tikai atļauj. No vienas aizgūts noteikumu modelis neapraksta otru, un tā tulkošana rada pārliecinātu atbildi par nepareizo objektu.

Pierakstiet lēmumu, lai nākamais audits to izmantotu

Kad tvērums patiešām ir neviennozīmīgs, pierakstiet kontroles revīziju, resursa identifikatoru, citēto predikātu un pierādījumu, kas to atrisināja. Iekļaujiet, ko jūs izslēdzāt un kāpēc. Šis ieraksts ļauj otram recenzentam nonākt pie tā paša secinājuma, nepārlasot visu etalonu, un tas ir vienīgais, kas pārdzīvo personāla maiņu.

Piezīme „VPN ports pārbaudīts“ garantē, ka strīds atgriezīsies nākamajā ceturksnī. Tā vietā nosauciet vērtētāju, revīziju un pierādījumu.