VPN порта означен од еталон? Проверете го опсегот на контролата

Скенерот ви го означува VPN порта, тикетот го преформулира тоа како јавен слушател, а расправата што следи е за тоа дали изложеноста е вистинска. Наодот ретко го кажува тоа што читателот го претпоставува. Тој цитира еталонска контрола со фиксен опсег, а бројот на портата е само еден влез во тој опсег.

Прочитајте ја контролата пред да ја браните портата. Наод што се чита како пресуда е обично предикат применет на еден ресурс.

Што всушност цитира редот на наодот

Секој еталонски наод носи четири работи што вреди да се разделат: документот и ревизијата од кои доаѓа, ресурсот што е оценет, предикатот што го предизвикал резултатот и покриеноста што ревизијата навистина ја постигнала. Тимовите обично го цитираат само ресурсот — безбедносна група или мрежен ACL или хост — и потоа расправаат за портата. Предикатот е тој што одлучува дали вашиот слушател воопшто бил во опсегот. Без него расправате за број наместо за правило.

Документацијата на Amazon Security Hub ја држи таа поделба видлива без PDF зад платен ѕид:страницата со контроли за EC2 ги наведува проверките на безбедносните групи за неограничен пристап на портите 22 и 3389 и ги третира мрежните ACL како различен ресурс со свои услови. Исти административни порти, различен објект, различен тест. Тоа е деталноста што наодот ја наследува.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Одделете го јавниот слушател од административниот пристап

VPN слушател што прима UDP 1194 од интернет и SSH услуга достапна само по одобрување се различни патишта на изложеност. Проверката што го покрива првиот може да не каже ништо за вториот, а проверката што го покрива вториот може да го игнорира првиот. Успешен резултат на едниот не е изјава за другиот, колку и да звучат слично на статусен состанок.

Третирајте го секој пат како свој ред во прегледот.

Потоа проверете што дозволува самата мрежна порта. Прифаќањето тунел не е исто како доделување административни права на мрежната порта, и ниту едно од тоа не е еднакво на достигнување на сервер зад неа. Поделете го прашањето на тоа кој може да се поврзе, кој може да администрира и што може да достигне тунелот. Овие три одговори доаѓаат од различни системи и рутински се спојуваат во една реченица по која никој не може да постапи.

Ресурсот одлучува дали портата воопшто е во опсегот

Правило на безбедносна група, запис во ACL на подмрежа и правило на хост заштитен ѕид можат сите да дозволуваат сообраќај, но само едно од нив може да биде објектот што контролата го оценува. Ефективната дозвола значи комбинирање на паралелни групи, двете адресни фамилии и секое правило за одбивање пред нив. Порта што паѓа на проверка на ниво на група може сепак да биде недостапна, а порта што ја поминува може сепак да биде блокирана подлабоко.

Тука трансплантацијата на правила од друга средина тргнува наопаку. Мрежните ACL се без состојба и се оценуваат по ред; безбедносните групи имаат состојба и само дозволуваат. Моделот на правила позајмен од едниот не го опишува другиот, а неговиот превод дава самоуверен одговор за погрешниот објект.

Запишете ја одлуката за следниот одит да ја користи

Кога опсегот е навистина двосмислен, запишете ја ревизијата на контролата, идентификаторот на ресурсот, цитираниот предикат и доказот што го решил. Вклучете што сте исклучиле и зошто. Токму тој запис му овозможува на вториот рецензент да дојде до истиот заклучок без повторно читање на целиот еталон, и тоа е единственото нешто што го надживува менувањето на персоналот.

Забелешка што вели „VPN портата е прегледана“ гарантира дека расправата ќе се врати следниот квартал. Наместо тоа, наведете го оценувачот, ревизијата и доказот.