Portul VPN semnalat de un benchmark? Verifică sfera controlului

Scannerul tău semnalează portul VPN, tichetul parafrazează asta ca un ascultător public, iar argumentul care urmează este despre dacă expunerea este reală. Constatarea spune rareori ceea ce presupune cititorul. Ea citează un control de benchmark cu sferă fixă, iar numărul portului este doar o intrare în acea sferă.

Citește controlul înainte de a apăra portul. O constatare care se citește ca un verdict este de obicei un predicat aplicat unei singure resurse.

Ce citează de fapt rândul constatării

Fiecare constatare de benchmark poartă patru lucruri care merită separate: documentul și revizia din care provine, resursa evaluată, predicatul care a declanșat rezultatul și acoperirea pe care auditul a obținut-o efectiv. Echipele citează de obicei doar resursa — un grup de securitate, o ACL de rețea sau un host — și apoi dezbat portul. Predicatul este cel care decide dacă ascultătorul tău era măcar în sferă. Fără el, dezbat un număr în loc de o regulă.

Documentația Amazon Security Hub menține această separare vizibilă fără un PDF cu plată:pagina controalelor EC2 listează verificări ale grupurilor de securitate pentru acces nelimitat pe porturile 22 și 3389 și tratează ACL-urile de rețea ca o resursă diferită, cu propriile condiții. Aceleași porturi administrative, alt obiect, alt test. Aceasta este granularitatea pe care o moștenește o constatare.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Separă ascultătorul public de accesul administrativ

Un ascultător VPN care acceptă UDP 1194 din internet și un serviciu SSH accesibil doar după admitere sunt căi de expunere diferite. Verificarea care îl acoperă pe primul poate să nu spună nimic despre al doilea, iar verificarea care îl acoperă pe al doilea poate să îl ignore pe primul. Un rezultat trecut la unul nu este o afirmație despre celălalt, oricât de asemănător sună cele două într-o ședință de status.

Tratează fiecare cale ca pe propriul rând în revizuire.

Apoi verifică ce autorizează gateway-ul însuși. Acceptarea unui tunel nu este același lucru cu acordarea de drepturi administrative pe gateway, iar niciuna dintre ele nu echivalează cu atingerea unui server din spatele lui. Împarte întrebarea în cine se poate conecta, cine poate administra și ce poate atinge tunelul. Aceste trei răspunsuri vin din sisteme diferite și sunt contopite în mod obișnuit într-o singură frază pe baza căreia nimeni nu poate acționa.

Resursa decide dacă portul este măcar în sferă

O regulă de grup de securitate, o intrare ACL de subrețea și o regulă de firewall de host pot toate permite trafic, dar numai una dintre ele poate fi obiectul pe care controlul îl evaluează. Permisiunea efectivă înseamnă combinarea grupurilor paralele, a ambelor familii de adrese și a oricărei reguli de refuz din fața lor. Un port care pică o verificare la nivel de grup poate rămâne inaccesibil, iar un port care o trece poate rămâne blocat mai adânc.

Aici transplantarea regulilor altui mediu merge prost. ACL-urile de rețea sunt fără stare și evaluate în ordine; grupurile de securitate au stare și doar permit. Un model de reguli împrumutat de la unul nu îl descrie pe celălalt, iar traducerea lui produce un răspuns încrezător despre obiectul greșit.

Înregistrează decizia ca următorul audit să o reutilizeze

Când sfera este cu adevărat ambiguă, notează revizia controlului, identificatorul resursei, predicatul așa cum a fost citat și dovada care l-a rezolvat. Include ce ai exclus și de ce. Acea înregistrare este ceea ce permite unui al doilea recenzent să ajungă la aceeași concluzie fără a reciti tot benchmarkul și este singurul lucru care supraviețuiește fluctuației de personal.

O notă care spune «port VPN revizuit» garantează că dezbaterea revine trimestrul viitor. Numește în schimb evaluatorul, revizia și dovada.