Il-port VPN immarkat minn benchmark? Iċċekkja l-ambitu tal-kontroll

L-iskanner tiegħek jimmarka l-port VPN, il-biljett jifformula mill-ġdid dan bħala semmiegħ pubbliku, u l-argument li jsegwi huwa dwar jekk l-espożizzjoni hijiex reali. Is-sejba rarament tgħid dak li jassumi l-qarrej. Hija tikkwota kontroll ta’ benchmark b’ambitu fiss, u n-numru tal-port huwa biss input wieħed għal dak l-ambitu.

Aqra l-kontroll qabel tiddefendi l-port. Sejba li tinqara bħala sentenza hija normalment predikat applikat għal riżors wieħed.

X’tikkwota tassew ir-ringiela tas-sejba

Kull sejba ta’ benchmark ġġorr erba’ affarijiet li jiswew li jiġu separati: id-dokument u r-reviżjoni li minnhom ġiet, ir-riżors li ġie vvalutat, il-predikat li qanqal ir-riżultat, u l-kopertura li l-verifika tassew kisbet. It-timijiet normalment jikkwotaw biss ir-riżors — grupp tas-sigurtà jew ACL tan-netwerk jew host — u mbagħad jiddiskutu dwar il-port. Il-predikat huwa dak li jiddeċiedi jekk is-semmiegħ tiegħek kienx fl-ambitu xorta waħda. Mingħajrha qed tiddiskuti numru minflok regola.

Id-dokumentazzjoni ta’ Amazon Security Hub iżżomm dik is-separazzjoni viżibbli mingħajr PDF wara ħajt tal-ħlas:il-paġna tal-kontrolli EC2 telenka verifiki tal-gruppi tas-sigurtà għal aċċess bla restrizzjoni fuq il-portijiet 22 u 3389, u tittratta l-ACLs tan-netwerk bħala riżors differenti bil-kundizzjonijiet tiegħu stess. L-istess portijiet amministrattivi, oġġett differenti, test differenti. Din hija l-granularità li sejba tiret.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Ifferra s-semmiegħ pubbliku mill-aċċess amministrattiv

Semmiegħ VPN li jaċċetta UDP 1194 mill-internet u servizz SSH aċċessibbli biss wara l-ammissjoni huma toroq differenti ta’ espożizzjoni. Il-verifika li tkopri l-ewwel tista’ ma tgħid xejn dwar it-tieni, u l-verifika li tkopri t-tieni tista’ tinjora l-ewwel. Riżultat li jgħaddi fuq wieħed mhuwiex dikjarazzjoni dwar l-ieħor, kemm jekk it-tnejn jidhru simili f’laqgħa tal-istatus.

Ittratta kull triq bħala r-ringiela tagħha stess fir-reviżjoni.

Imbagħad ivverifika x’jawtorizza l-gateway innifsu. Li taċċetta tunnel mhuwiex l-istess bħal li tagħti drittijiet amministrattivi fuq il-gateway, u lanqas waħda minnhom mhi daqs li tilħaq server warajh. Aqsam il-mistoqsija f’min jista’ jqabbad, min jista’ jamministra, u x’jista’ jilħaq it-tunnel. Dawn it-tliet tweġibiet jiġu minn sistemi differenti u jiġu mgħaqqda b’rutina f’sentenza waħda li fuqha ħadd ma jista’ jaġixxi.

Ir-riżors jiddeċiedi jekk il-port huwiex fl-ambitu xorta waħda

Regola ta’ grupp tas-sigurtà, entry ta’ ACL tas-subnet u regola tal-firewall tal-host jistgħu kollha jippermettu traffiku, iżda waħda biss minnhom tista’ tkun l-oġġett li l-kontroll jivvaluta. Permess effettiv ifisser li tgħaqqad gruppi paralleli, iż-żewġ familji ta’ indirizzi u kull regola ta’ ċaħda quddiemhom. Port li jfalli verifika fil-livell tal-grupp jista’ xorta jkun unreachable, u port li jgħaddiha jista’ xorta jkun imblukkat aktar ġewwa.

Hawnhekk it-trapjant tar-regoli ta’ ambjent ieħor imur ħażin. L-ACLs tan-netwerk huma stateless u jiġu vvalutati fl-ordni; il-gruppi tas-sigurtà huma stateful u jippermettu biss. Mudell ta’ regoli misluf minn wieħed ma jiddeskrivix l-ieħor, u t-traduzzjoni tiegħu tagħti tweġiba konfidenti dwar l-oġġett żbaljat.

Irreġistra d-deċiżjoni sabiex il-verifika li jmiss terġa’ tużaha

Meta l-ambitu huwa tassew ambigwu, ikteb ir-reviżjoni tal-kontroll, l-identifikatur tar-riżors, il-predikat kif ikkwotat u l-evidenza li solvietu. Inkludi x’eskludejt u għaliex. Dak ir-rekord huwa dak li jippermetti t-tieni reviżur jasal għall-istess konklużjoni mingħajr ma jerġa’ jaqra l-benchmark kollu, u huwa l-unika ħaġa li tgħix il-bdil tal-persunal.

Nota li tgħid «port VPN reviż» tiggarantixxi li d-diskussjoni terġa’ lura t-trimestru li jmiss. Semmi minflok l-evalwatur, ir-reviżjoni u l-evidenza.