बेंचमार्कने VPN पोर्ट चिन्हांकित केला? नियंत्रणाची व्याप्ती तपासा

तुमचा स्कॅनर VPN पोर्ट चिन्हांकित करतो, तिकीट त्याला सार्वजनिक श्रोता म्हणून पुन्हा मांडते, आणि पुढील वाद उघडकी खरी आहे का याबद्दल आहे। शोध वाचक जे गृहीत धरतो ते क्वचितच सांगतो। तो निश्चित व्याप्तीच्या बेंचमार्क नियंत्रणाचा उल्लेख करतो, आणि पोर्ट क्रमांक त्या व्याप्तीतील केवळ एक इनपुट आहे।

पोर्टचा बचाव करण्यापूर्वी नियंत्रण वाचा। निकालासारखा वाचला जाणारा शोध सामान्यतः एका संसाधनावर लागू केलेले विधेय असते।

शोधाची ओळ प्रत्यक्षात काय उद्धृत करते

प्रत्येक बेंचमार्क शोधात वेगळे करण्यासारखे चार गोष्टी असतात: ज्या दस्तऐवज आणि आवृत्तीतून तो आला, जे संसाधन मूल्यांकन केले, ज्या विधेयाने निकाल सुरू केला, आणि ऑडिटने प्रत्यक्षात मिळवलेले कव्हरेज। संघ सामान्यतः फक्त संसाधनाचा उल्लेख करतात — सुरक्षा गट किंवा नेटवर्क ACL किंवा होस्ट — आणि मग पोर्टबद्दल वाद घालतात। तुमचा श्रोता व्याप्तीत होता का हे विधेय ठरवते। ते नसल्यास तुम्ही नियमाऐवजी संख्येवर वाद घालत आहात।

Amazon चे Security Hub दस्तऐवज पेवॉलमागील PDF शिवाय ते विभाजन दृश्यमान ठेवतात:EC2 नियंत्रण पृष्ठ पोर्ट 22 आणि 3389 वर अमर्यादित प्रवेशासाठी सुरक्षा गट तपासण्यांची यादी देतो, आणि नेटवर्क ACL ला स्वतःच्या अटींसह वेगळे संसाधन मानतो। तेच प्रशासकीय पोर्ट, वेगळी वस्तू, वेगळी चाचणी। शोधाला वारसा मिळणारी हीच सूक्ष्मता।

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

सार्वजनिक श्रोता प्रशासकीय प्रवेशापासून वेगळा करा

इंटरनेटवरून UDP 1194 स्वीकारणारा VPN श्रोता आणि प्रवेशानंतरच पोहोचता येणारी SSH सेवा या वेगळ्या उघडकीच्या मार्ग आहेत। पहिल्याला व्यापणारी तपासणी दुसऱ्याबद्दल काहीही सांगत नसेल, आणि दुसऱ्याला व्यापणारी तपासणी पहिल्याकडे दुर्लक्ष करू शकते। एकावर उत्तीर्ण निकाल दुसऱ्याबद्दलचे विधान नाही, स्टेटस मीटिंगमध्ये दोन्ही कितीही सारखे वाटले तरी।

पुनरावलोकनात प्रत्येक मार्गाला स्वतःची ओळ माना।

मग गेटवे स्वतः कशाला परवानगी देतो ते तपासा। टनेल स्वीकारणे हे गेटवेवर प्रशासकीय हक्क देण्यासारखे नाही, आणि यापैकी कोणतेही त्यामागील सर्व्हरपर्यंत पोहोचण्यासारखे नाही। प्रश्नाचे विभाजन करा: कोण कनेक्ट करू शकतो, कोण प्रशासन करू शकतो, आणि टनेल कुठपर्यंत पोहोचू शकते। ही तीन उत्तरे वेगळ्या प्रणालींमधून येतात आणि कोणीही कार्य करू शकत नाही अशा एका वाक्यात नियमितपणे एकत्र केली जातात।

पोर्ट व्याप्तीत आहे का हे संसाधन ठरवते

सुरक्षा गट नियम, सबनेट ACL नोंद आणि होस्ट फायरवॉल नियम हे सर्व रहदारीला परवानगी देऊ शकतात, तरी त्यापैकी केवळ एकच नियंत्रण मूल्यांकन करते ती वस्तू असू शकते। प्रभावी परवानगी म्हणजे समांतर गट, दोन्ही पत्ता कुटुंबे आणि त्यांच्यापुढील कोणताही नकार नियम एकत्र करणे। गट-स्तरीय तपासणीत अपयशी पोर्ट तरीही अगम्य असू शकतो, आणि ती उत्तीर्ण पोर्ट अधिक आत अडवला जाऊ शकतो।

दुसऱ्या वातावरणाचे नियम रोपण करताना इथेच चूक होते। नेटवर्क ACL स्टेटलेस असतात आणि क्रमाने मूल्यांकन केले जातात; सुरक्षा गट स्टेटफुल असतात आणि केवळ परवानगी देतात। एकातून घेतलेले नियम मॉडेल दुसऱ्याचे वर्णन करत नाही, आणि त्याचे भाषांतर चुकीच्या वस्तूबद्दल आत्मविश्वासू उत्तर देते।

निर्णय नोंदवा जेणेकरून पुढील ऑडिट त्याचा पुन्हा वापर करेल

व्याप्ती खरोखर संदिग्ध असेल तेव्हा नियंत्रणाची आवृत्ती, संसाधन ओळखकर्ता, उद्धृत विधेय आणि ते सोडवणारा पुरावा लिहा। तुम्ही काय वगळले आणि का ते समाविष्ट करा। तीच नोंद दुसऱ्या पुनरावलोककाला संपूर्ण बेंचमार्क पुन्हा न वाचता त्याच निष्कर्षापर्यंत पोहोचू देते, आणि कर्मचारी बदलात टिकणारी तीच एकमेव गोष्ट आहे।

«VPN पोर्ट पुनरावलोकन केला» अशी नोंद पुढील तिमाहीत वाद परत येईल याची हमी देते। त्याऐवजी मूल्यांकनकर्ता, आवृत्ती आणि पुरावा नावाने सांगा।