Огнениот ѕид меѓу порти не е граница на домаќин

Веб-страницата одговара на 443, VPN одговара на 1194, огнениот ѕид ги пушта точно тие две, и прегледот поминува. Ништо во таа низа не праша што може да чита веб-работникот или кои датотеки може повторно да ги напише. Компромитиран работник не му треба отворена порта ако може да стигне до контролна гнездо или до папка за конфигурација во која може да се пишува. Границата е овластување, а слушателите се само делот што лесно се гледа.

Одделно име на услуга е етикета; одделен идентитет е безбедносно својство.

Бројте го овластувањето на работникот, не портите

Започнете со корисникот за извршување, неговите групи, неговите можности и погледот на датотечниот систем. Сервисна сметка што случајно припаѓа на VPN група може да чита клучен материјал без ниту една отворена порта. Местата за монтирање во кои може да се пишува се другата половина: поставувањата и кешовите треба да стојат далеку од датотеките со политики и тајни, а непотребно споделена папка во која може да се пишува ја уништува уредната номенклатура. Проверете го процесот што би ја извршил операцијата, бидејќи привилегиран родител и непривилегирани работници не делат едно овластување.

Тоа што VPN клучот е читлив при стартувањето на демонот не значи дека на веб-работникот му е потребен. Одделете го читањето што го врши демонот од пристапот што ѝ се дава на апликацијата.

Гнезда што даваат повеќе отколку што изгледаат

Некои крајни точки се административни API-ја во костим на метрички тек. Интерфејсот за управување на VPN може да менува сесии, да исклучува клиенти и да чита состојба. Гнездото на контејнерското извршно опкружување е уште пошироко: пристапот до него е всушност контрола на домаќинот, далеку над она што му треба на веб-апликација. Ниту едно од двете не припаѓа на множеството за монтирање на обична апликација и ниту едно не се појавува кога ги броите портите што слушаат.

Врзување на управувачки слушател на локална адреса е почеток, а не целосно ограничување, бидејќи секој влезен пат до таа адреса сѐ уште е важен. Дозволете само предвидените извори и интерфејси.

Контејнерите делат едно јадро

Контејнерите додаваат граници за процес, датотечен систем и мрежа, и делат едно јадро со домаќинот. Тоа ги прави одлучувачки изборот на можности, монтирањата на домаќинот и пристапот до демонот: монтирање тајни на домаќинот или давање привилегирана контрола на извршното опкружување ја брише границата што ја навестува етикетата на контејнерот. Одделните VM навистина даваат одделни јадра на гостинот, додека хипервизорот, административните идентитети, складирањето и резервните копии остануваат споделени. Изберете ја границата чија конфигурација и ажурирања имаат именуван сопственик.

Посложена поставеност што никој не ја одржува е полоша од едноставна што навистина се прегледува.

Прво тестирајте го одбивањето, потоа услугата

Користете одобрени проверки во вистинскиот контекст на работникот за да потврдите дека не може да ја менува VPN политиката, да чита непотребни тајни или да го допре интерфејсот за управување. Успешно читање како администратор не проверува ништо за тоа одбивање. Потоа проверете ја веб-страницата, обична дозволена VPN операција и што се случува со секоја од нив при рестартирање. Зачувајте пат за обновување што не зависи од поправање на VPN, за да остане грешката поправлива.

Двете улоги сѐ уште делат CPU, меморија, капацитет на нагорната врска и настани за одржување. Тие споделени ресурси припаѓаат на планот дури и кога границата на овластувањата е чиста.

Запишете што може да прави секој процес, што откажува ако запре и која граница останува споделена. Бројот на порти не е тој запис.