En privat port er ikke et bevis for programvaren bak

Det er en fornuftig instinkt: dersom bare VPN-en når SSH-lytteren, er eksponeringen liten og problemet løst. Eksponering er likevel ikke det samme som integritet. Den første halvdelen er riktig, og den andre følger ikke av den. Tilgjengelighet kontrollerer hvem som kan forsøke en tilkobling; programvareintegritet kontrollerer hva lytteren vil gjøre når den mottar en. En port begrenser publikum og sier ingenting om koden bak.

En privat port er en mindre dør, ikke en annerledes lås, og denne forskjellen avgjør hva du undersøker videre.

To kontroller, to spørsmål

En nettverksbegrensning reduserer eksponeringen. Den etterlater tillatte brukere, og enhver kompromittert godkjent klient, i stand til å nå den berørte tjenesten. Korrigering av pakken gjenoppretter programvaren, og den minsker heller ikke en altfor bred nettverkstillatelse. Hver kontroll gjør sin oppgave, og hver kan være riktig mens den andre mangler. Å vurdere dem sammen er måten et team overbeviser seg selv om at én dekker begge, og dette er nettopp feilen som dette stykket handler om.

VPN-endepunktet er også programvare, og det bærer den samme forpliktelsen. Å føye det til banen innfører en egen vedlikeholdsforpliktelse, og det fjerner ikke ansvaret for forsyningskjeden for noe bak det.

Hva XZ-avsløringen faktisk demonstrerte

XZ/liblzma-avsløringen i mars 2024 beskrev en bakdør som kunne føre til kompromittering av en SSH-tjener under berørte forhold. Det var et programvareintegritetsproblem like mye som et eksponeringsproblem, og det var ikke bevis for at enhver Linux-installasjon hadde den sårbare byggingen. Omfanget kommer fra de berørte versjonene og distribusjonene som leverte dem, ikke fra navnet på operativsystemfamilien.

Denne forskjellen er forskjellen mellom en hendelsesrespons og et rykte, og det er verdt å være pedantisk omkring den.

Å lukke porten er ikke gjenoppretting

Dersom kompromittering muligens allerede har skjedd, er endret tilgjengelighet ikke gjenoppretting. En bakdør som er kjørt har allerede fått sin sjanse; en brannmurregel reiser ikke tilbake i tid. Følg den godkjente hendelsesprosessen for verten og for eventuelle eksponerte påloggingsdetaljer, og ta vare på bevisene som trengs for å fastslå hva som faktisk ble kjørt. Gjenoppbygging fra kjente, gode medier er vanligvis en del av den samtalen.

Benytt også distribusjonens gjeldende verifiserte rådgivning og utbedringsprosess, og les listen over berørte versjoner framfor overskriften. Å kopiere en historisk nedgraderingskommando inn i et urelatert miljø er hvordan en rettelse blir en ny eksponering.

Vurder begge, hver for seg

Still de to spørsmålene på deres egne premisser. Hvem kan nå lytteren, og er dette publikummet nøyaktig det tjenesten er ment for? Hvilken versjon av programvaren er installert, hvem signerte artefakten, og hvordan får organisasjonen vite om en dårlig utgivelse før den leser om det i nyhetene? Svarene hører hjemme i forskjellige dokumenter med forskjellige eiere, og ingen eier kan svare på vegne av den andre.

For en administrert flåte er en programvareoversikt den kontrollen som i det hele tatt gjør det andre spørsmålet mulig å besvare. Uten den blir hver avsløring et arkeologiprosjekt med en frist.

En port begrenser publikum. Integritet avgjør om publikummet spiller noen rolle.