VPN-port flagget av en benchmark? Sjekk kontrollens omfang

Skanneren din flagger VPN-porten, billetten omskriver det til en offentlig listener, og argumentet som følger handler om hvorvidt eksponeringen er reell. Funnet sier sjelden det leseren antar. Det siterer en benchmark-kontroll med fast omfang, og portnummeret er bare ett innspill til det omfanget.

Les kontrollen før du forsvarer porten. Et funn som leses som en dom, er vanligvis et predikat anvendt på én ressurs.

Hva funnraden faktisk siterer

Hvert benchmark-funn bærer fire ting det er verdt å skille: dokumentet og revisjonen det kommer fra, ressursen som ble vurdert, predikatet som utløste resultatet, og dekningen revisjonen faktisk oppnådde. Team siterer vanligvis bare ressursen — en sikkerhetsgruppe eller en nettverks-ACL eller en vert — og så diskuterer de porten. Predikatet er det som avgjør om listeneren din i det hele tatt var i omfang. Uten det debatterer du et tall i stedet for en regel.

Amazons Security Hub-dokumentasjon holder den inndelingen synlig uten en PDF bak betalingsmur:EC2-kontrollsiden lister sikkerhetsgruppekontroller for ubegrenset tilgang på portene 22 og 3389, og behandler nettverks-ACL-er som en annen ressurs med egne betingelser. Samme administrasjonsporter, annet objekt, annen test. Det er detaljnivået et funn arver.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Skill den offentlige listeneren fra administrativ tilgang

En VPN-listener som godtar UDP 1194 fra internett, og en SSH-tjeneste som først er tilgjengelig etter opptak, er ulike eksponeringsveier. Kontrollen som dekker den første, sier kanskje ingenting om den andre, og kontrollen som dekker den andre, ignorerer kanskje den første. Et bestått resultat på én er ikke en uttalelse om den andre, uansett hvor like de to høres ut i et statusmøte.

Behandle hver vei som sin egen rad i gjennomgangen.

Bekreft deretter hva gatewayen selv tillater. Å godta en tunnel er ikke det samme som å gi administrative rettigheter på gatewayen, og ingen av delene tilsvarer å nå en server bak den. Del spørsmålet i hvem som kan koble til, hvem som kan administrere, og hva tunnelen kan nå. De tre svarene kommer fra ulike systemer og blir rutinemessig smeltet sammen til én setning som ingen kan handle på.

Ressursen avgjør om porten i det hele tatt er i omfang

En sikkerhetsgrupperegel, en undernett-ACL-oppføring og en vertsbrannmurregel kan alle tillate trafikk, men bare én av dem er kanskje objektet kontrollen vurderer. Effektiv tillatelse betyr å kombinere parallelle grupper, begge adressefamilier og enhver avvisningsregel foran dem. En port som feiler en kontroll på gruppenivå, kan fortsatt være utilgjengelig, og en port som består den, kan fortsatt være blokkert lenger inn.

Her går det galt når man transplanterer et annet miljøs regler. Nettverks-ACL-er er tilstandsløse og vurderes i rekkefølge; sikkerhetsgrupper er tilstandsfulle og tillater bare. En regelmodell lånt fra den ene beskriver ikke den andre, og å oversette den gir et selvsikkert svar om feil objekt.

Skriv ned beslutningen så neste revisjon gjenbruker den

Når omfanget er virkelig tvetydig, skriv ned kontrollrevisjonen, ressursidentifikatoren, predikatet som sitert og beviset som avgjorde det. Ta med hva du utelukket og hvorfor. Den registreringen er det som lar en annen gjennomgåer nå samme konklusjon uten å lese hele benchmarken på nytt, og det er det eneste som overlever utskifting av ansatte.

Et notat med «VPN-port gjennomgått» garanterer at debatten kommer tilbake neste kvartal. Nevn i stedet vurdereren, revisjonen og beviset.