Zapora między portami nie jest granicą hosta

Strona odpowiada na 443, VPN odpowiada na 1194, zapora przepuszcza dokładnie te dwa, a przegląd przechodzi. Nic w tej sekwencji nie zapytało, co pracownik webowy może czytać ani które pliki może nadpisać. Przejęty pracownik nie potrzebuje otwartego portu, jeśli może dotrzeć do gniazda sterującego lub zapisywalnego katalogu konfiguracji. Granicą są uprawnienia, a nasłuchujący to tylko ta część, którą łatwo zobaczyć.

Osobna nazwa usługi to etykieta; osobna tożsamość to właściwość bezpieczeństwa.

Licz uprawnienia pracownika, nie porty

Zacznij od użytkownika wykonawczego, jego grup, jego zdolności i widoku systemu plików. Konto usługi, które przypadkiem należy do grupy VPN, może czytać materiał klucza bez otwartego portu. Zapisywalne montowania to druga połowa: przesłane pliki i pamięci podręczne powinny leżeć daleko od plików polityki i sekretów, a niepotrzebnie współdzielony zapisywalny katalog psuje uporządkowane nazewnictwo. Sprawdź proces, który wykonałby operację, bo uprzywilejowany rodzic i nieuprzywilejowani pracownicy nie dzielą jednych uprawnień.

To, że klucz VPN jest czytelny podczas startu demona, nie znaczy, że pracownik webowy go potrzebuje. Oddziel odczyt wykonywany przez demona od dostępu przyznanego aplikacji.

Gniazda, które dają więcej, niż się wydaje

Niektóre punkty końcowe to administracyjne API w kostiumie strumienia metryk. Interfejs zarządzania VPN może zmieniać sesje, rozłączać klientów i czytać stan. Gniazdo środowiska uruchomieniowego kontenerów jest jeszcze szersze: dostęp do niego to w praktyce kontrola hosta, znacznie więcej, niż potrzebuje aplikacja webowa. Żadne z nich nie należy do zestawu montowań zwykłej aplikacji i żadne nie pojawia się przy liczeniu nasłuchujących portów.

Przypięcie nasłuchu administracyjnego do lokalnego adresu to początek, nie pełne ograniczenie, bo każda ścieżka wejścia do tego adresu nadal ma znaczenie. Zezwalaj tylko na zamierzone źródła i interfejsy.

Kontenery dzielą jedno jądro

Kontenery dodają granice procesu, systemu plików i sieci i dzielą jedno jądro z hostem. To czyni rozstrzygającymi wybór zdolności, montowania hosta i dostęp do demona: zamontowanie sekretów hosta lub przyznanie uprzywilejowanej kontroli środowiska uruchomieniowego zaciera granicę, którą sugeruje etykieta kontenera. Osobne VM dają rzeczywiście osobne jądra gościa, a hipervisor, tożsamości administracyjne, pamięć masowa i kopie zapasowe pozostają współdzielone. Wybierz granicę, której konfiguracja i aktualizacje mają nazwanego właściciela.

Bardziej rozbudowany układ, którego nikt nie utrzymuje, jest gorszy od prostego, który faktycznie jest przeglądany.

Najpierw testuj odmowę, potem usługę

Użyj zatwierdzonych testów w rzeczywistym kontekście pracownika, aby potwierdzić, że nie może zmienić polityki VPN, czytać zbędnych sekretów ani dotknąć interfejsu zarządzania. Udany odczyt jako administrator nie testuje niczego w kwestii tej odmowy. Następnie zweryfikuj stronę, zwykłą dozwoloną operację VPN i co dzieje się z każdą z nich przy restarcie. Zachowaj ścieżkę odzyskiwania, która nie zależy od naprawy VPN, żeby błąd pozostał naprawialny.

Obie role nadal dzielą CPU, pamięć, przepustowość łącza wyjściowego i zdarzenia konserwacyjne. Te wspólne zasoby należą do planu nawet wtedy, gdy granica uprawnień jest czysta.

Zapisz, co może robić każdy proces, co zawodzi, jeśli się zatrzyma, i która granica pozostaje wspólna. Liczba portów nie jest takim zapisem.