Port VPN oznaczony przez benchmark? Sprawdź zakres kontroli

Twój skaner oznacza port VPN, zgłoszenie parafrazuje to jako publiczny nasłuch, a spór, który następuje, dotyczy tego, czy ekspozycja jest realna. Znalezisko rzadko mówi to, co zakłada czytelnik. Cytuje kontrolę benchmarku o stałym zakresie, a numer portu jest tylko jednym z wejść do tego zakresu.

Przeczytaj kontrolę, zanim zaczniesz bronić portu. Znalezisko czytane jak wyrok to zwykle predykat zastosowany do jednego zasobu.

Co faktycznie cytuje wiersz znaleziska

Każde znalezisko benchmarku niesie cztery rzeczy warte rozdzielenia: dokument i wersję, z których pochodzi, oceniany zasób, predykat, który wywołał wynik, oraz pokrycie, które audyt faktycznie osiągnął. Zespoły zwykle cytują tylko zasób — grupę zabezpieczeń, ACL sieci lub host — a potem spierają się o port. To predykat decyduje, czy twój nasłuch w ogóle był w zakresie. Bez niego dyskutujesz o liczbie zamiast o regule.

Dokumentacja Amazon Security Hub utrzymuje ten podział widocznym bez płatnego PDF:strona kontroli EC2 wymienia kontrole grup zabezpieczeń pod kątem nieograniczonego dostępu na portach 22 i 3389 i traktuje ACL sieci jako inny zasób z własnymi warunkami. Te same porty administracyjne, inny obiekt, inny test. To jest szczegółowość, którą dziedziczy znalezisko.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Oddziel publiczny nasłuch od dostępu administracyjnego

Nasłuch VPN przyjmujący UDP 1194 z internetu i usługa SSH dostępna dopiero po dopuszczeniu to różne ścieżki ekspozycji. Kontrola obejmująca pierwszą może nic nie mówić o drugiej, a kontrola obejmująca drugą może ignorować pierwszą. Wynik pozytywny na jednej nie jest stwierdzeniem o drugiej, jakkolwiek podobnie brzmią na spotkaniu statusowym.

Traktuj każdą ścieżkę jako własny wiersz w przeglądzie.

Następnie sprawdź, czego pozwala sama brama. Przyjęcie tunelu to nie to samo co przyznanie uprawnień administracyjnych na bramie, a żadne z nich nie równa się dotarciu do serwera za nią. Podziel pytanie na to, kto może się połączyć, kto może administrować i co tunel może osiągnąć. Te trzy odpowiedzi pochodzą z różnych systemów i rutynowo są scalane w jedno zdanie, na którym nikt nie może działać.

Zasób decyduje, czy port jest w ogóle w zakresie

Reguła grupy zabezpieczeń, wpis ACL podsieci i reguła zapory hosta mogą wszystkie przepuszczać ruch, ale tylko jedna z nich może być obiektem ocenianym przez kontrolę. Skuteczne zezwolenie oznacza połączenie równoległych grup, obu rodzin adresów i każdej reguły odmowy przed nimi. Port, który nie przechodzi kontroli na poziomie grupy, może nadal być nieosiągalny, a port, który ją przechodzi, może być nadal zablokowany głębiej.

Tu przeszczepianie reguł z innego środowiska idzie źle. ACL sieci są bezstanowe i oceniane w kolejności; grupy zabezpieczeń są stanowe i tylko zezwalają. Model reguł zapożyczony z jednego nie opisuje drugiego, a jego tłumaczenie daje pewną odpowiedź o niewłaściwym obiekcie.

Zapisz decyzję, aby następny audyt ją wykorzystał

Gdy zakres jest naprawdę niejednoznaczny, zapisz wersję kontroli, identyfikator zasobu, cytowany predykat i dowód, który to rozstrzygnął. Uwzględnij, co wykluczyłeś i dlaczego. Ten zapis pozwala drugiemu recenzentowi dojść do tego samego wniosku bez ponownego czytania całego benchmarku i jest jedyną rzeczą, która przetrwa rotację personelu.

Notatka „port VPN sprawdzony” gwarantuje, że spór wróci w następnym kwartale. Wskaż zamiast tego oceniającego, wersję i dowód.