Port VPN Ditandai oleh Penanda Aras? Semak Skop Kawalan

Pengimbas anda menandakan port VPN, tiket memparafrasakan itu sebagai pendengar awam, dan perdebatan berikutnya ialah sama ada pendedahan itu nyata. Penemuan jarang mengatakan apa yang diandaikan pembaca. Ia memetik kawalan penanda aras dengan skop tetap, dan nombor port hanyalah satu input kepada skop itu.

Baca kawalan sebelum mempertahankan port. Penemuan yang terbaca seperti keputusan biasanya ialah predikat yang digunakan pada satu sumber.

Apa Sebenarnya Dipetik oleh Baris Penemuan

Setiap penemuan penanda aras membawa empat perkara yang wajar dipisahkan: dokumen dan semakan asalnya, sumber yang dinilai, predikat yang mencetuskan keputusan, dan liputan yang benar-benar dicapai oleh audit. Pasukan biasanya hanya memetik sumbernya — kumpulan keselamatan atau ACL rangkaian atau hos — dan kemudian berdebat tentang port. Predikat itulah yang menentukan sama ada pendengar anda berada dalam skop. Tanpanya anda berdebat tentang nombor dan bukan peraturan.

Dokumentasi Amazon Security Hub memastikan pemisahan itu kekal kelihatan tanpa PDF di sebalik dinding bayaran:halaman kawalan EC2 menyenaraikan pemeriksaan kumpulan keselamatan untuk akses tanpa had pada port 22 dan 3389, dan menganggap ACL rangkaian sebagai sumber berbeza dengan syaratnya sendiri. Port pentadbiran yang sama, objek berbeza, ujian berbeza. Itulah kebutiran yang diwarisi oleh penemuan.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Pisahkan Pendengar Awam daripada Akses Pentadbiran

Pendengar VPN yang menerima UDP 1194 daripada internet dan perkhidmatan SSH yang hanya boleh dicapai selepas diterima ialah laluan pendedahan yang berbeza. Pemeriksaan yang meliputi yang pertama mungkin tidak mengatakan apa-apa tentang yang kedua, dan pemeriksaan yang meliputi yang kedua mungkin mengabaikan yang pertama. Keputusan lulus pada satu bukan pernyataan tentang yang lain, betapa serupanya keduanya kedengaran dalam mesyuarat status.

Anggap setiap laluan sebagai barisnya sendiri dalam semakan.

Kemudian sahkan apa yang dibenarkan oleh get itu sendiri. Menerima terowong bukan sama dengan memberi hak pentadbiran pada get, dan kedua-duanya tidak sama dengan mencapai pelayan di belakangnya. Bahagikan soalan kepada siapa boleh menyambung, siapa boleh mentadbir, dan apa yang boleh dicapai oleh terowong. Ketiga-tiga jawapan itu datang daripada sistem berbeza dan lazimnya digabungkan menjadi satu ayat yang tiada siapa boleh bertindak.

Sumber yang Menentukan Sama Ada Port Berada dalam Skop

Peraturan kumpulan keselamatan, entri ACL subrangkaian dan peraturan tembok api hos semuanya boleh membenarkan trafik, namun hanya satu daripadanya mungkin objek yang dinilai oleh kawalan. Kebenaran berkesan bermaksud menggabungkan kumpulan selari, kedua-dua keluarga alamat dan sebarang peraturan penafian di hadapannya. Port yang gagal pemeriksaan peringkat kumpulan masih boleh tidak dapat dicapai, dan port yang lulus masih boleh disekat lebih dalam.

Di sinilah pemindahan peraturan persekitaran lain menjadi salah. ACL rangkaian tidak mempunyai keadaan dan dinilai mengikut urutan; kumpulan keselamatan mempunyai keadaan dan hanya membenarkan. Model peraturan yang dipinjam daripada satu tidak menerangkan yang lain, dan menterjemahkannya menghasilkan jawapan yakin tentang objek yang salah.

Catat Keputusan Supaya Audit Seterusnya Menggunakannya Semula

Apabila skop benar-benar kabur, tulis semakan kawalan, pengecam sumber, predikat seperti yang dipetik dan bukti yang menyelesaikannya. Sertakan apa yang anda kecualikan dan mengapa. Catatan itulah yang membolehkan penyemak kedua mencapai kesimpulan yang sama tanpa membaca semula keseluruhan penanda aras, dan itulah satu-satunya perkara yang bertahan daripada pertukaran kakitangan.

Nota bertulis «port VPN disemak» menjamin perdebatan kembali pada suku berikutnya. Sebutkan penilai, semakan dan bukti sebaliknya.