VPN-port flagga av ein benchmark? Sjekk omfanget av kontrollen

Skannaren din flaggar VPN-porten, billetten omformulerer det til ein offentleg lyttar, og argumentet som følgjer handlar om kvidt eksponeringa er reell. Funnet seier sjeldan det lesaren føreset. Det siterer ein benchmark-kontroll med fast omfang, og portnummeret er berre eitt innspel til det omfanget.

Les kontrollen før du forsvarar porten. Eit funn som blir lese som ein dom, er vanlegvis eit predikat brukt på éin ressurs.

Kva funnraden faktisk siterer

Kvart benchmark-funn ber fire ting det er verdt å skilje: dokumentet og revisjonen det kjem frå, ressursen som vart vurdert, predikatet som utløyste resultatet, og dekninga revisjonen faktisk oppnådde. Team siterer vanlegvis berre ressursen — ei tryggingsgruppe eller ein nettverks-ACL eller ein vert — og så disputerer dei om porten. Predikatet er det som avgjer om lyttaren din i det heile var i omfanget. Utan det debatterer du eit tal i staden for ein regel.

Amazons Security Hub-dokumentasjon held den inndelinga synleg utan ein PDF bak betalingsmur:EC2-kontrollsida listar tryggingsgruppekontrollar for ubegrensa tilgang på portane 22 og 3389, og behandlar nettverks-ACL-ar som ein annan ressurs med eigne vilkår. Same administrasjonsportar, eit anna objekt, ein annan test. Det er detaljnivået eit funn arvar.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Skil den offentlege lyttaren frå administrativ tilgang

Ein VPN-lyttar som godtek UDP 1194 frå internett, og ein SSH-teneste som først er tilgjengeleg etter opptak, er ulike eksponeringsvegar. Kontrollen som dekkjer den første, seier kanskje ingenting om den andre, og kontrollen som dekkjer den andre, ignorerer kanskje den første. Eit bestått resultat på éin er ikkje ei utsegn om den andre, uansett kor like dei to høyrest ut i eit statusmøte.

Handsam kvar veg som si eiga rad i gjennomgangen.

Stadfest deretter kva gatewayen sjølv tillèt. Å godta ein tunnel er ikkje det same som å gje administrative rettar på gatewayen, og ingen av delane svarar til å nå ein tenar bak han. Del spørsmålet i kven som kan kopla til, kven som kan administrera, og kva tunnelen kan nå. Dei tre svara kjem frå ulike system og blir rutinemessig smelta saman til éin setning som ingen kan handle på.

Ressursen avgjer om porten i det heile er i omfang

Ein tryggingsgrupperegel, ein undernett-ACL-oppføring og ein vertsbrannmurregel kan alle tillate trafikk, men berre éin av dei er kanskje objektet kontrollen vurderer. Effektiv tillating betyr å kombinere parallelle grupper, begge adressefamiliane og ein kvar avvisingregel framfor dei. Ein port som feilar ein kontroll på gruppenivå, kan framleis vere utilgjengeleg, og ein port som består han, kan framleis vere blokkert lenger inn.

Her går det gale når ein transplanterer reglane til eit anna miljø. Nettverks-ACL-ar er tilstandslause og blir vurderte i rekkjefølgje; tryggingsgrupper er tilstandsfulle og tillèt berre. Ein regelmodell lånt frå den eine skildrar ikkje den andre, og å omsetje han gir eit sjølvsikkert svar om feil objekt.

Skriv ned avgjerda så neste revisjon brukar ho om att

Når omfanget er verkeleg tvitydig, skriv ned kontrollrevisjonen, ressursidentifikatoren, predikatet som sitert og provet som avgjorde det. Ta med kva du utelukka og kvifor. Den registreringa er det som lèt ein annan gjennomgåar nå same konklusjon utan å lese heile benchmarken på nytt, og det er det einaste som overlever utskifting av tilsette.

Eit notat med «VPN-port gjennomgått» garanterer at debatten kjem tilbake neste kvartal. Nemn i staden vurderaren, revisjonen og provet.