VPN port označen mjerilom? Provjerite opseg kontrole

Vaš skener označi VPN port, tiket to preformulira kao javni slušatelj, a rasprava koja slijedi odnosi se na to je li izloženost stvarna. Nalaz rijetko kaže ono što čitatelj pretpostavlja. On citira kontrolu mjerila s fiksnim opsegom, a broj porta samo je jedan ulaz u taj opseg.

Pročitajte kontrolu prije nego što branite port. Nalaz koji se čita kao presuda obično je predikat primijenjen na jedan resurs.

Što red nalaza zapravo citira

Svaki nalaz mjerila nosi četiri stvari koje vrijedi razdvojiti: dokument i reviziju iz kojih dolazi, resurs koji je procijenjen, predikat koji je pokrenuo rezultat i pokrivenost koju je revizija stvarno postigla. Timovi obično citiraju samo resurs — sigurnosnu grupu ili mrežni ACL ili host — a zatim raspravljaju o portu. Predikat odlučuje je li vaš slušatelj uopće bio u opsegu. Bez njega raspravljate o broju umjesto o pravilu.

Amazonova dokumentacija Security Huba održava to razdvajanje vidljivim bez PDF-a iza paywalla:stranica s EC2 kontrolama navodi provjere sigurnosnih grupa za neograničen pristup na portovima 22 i 3389 i tretira mrežne ACL-ove kao drugi resurs s vlastitim uvjetima. Isti administrativni portovi, drugi objekt, drugi test. To je granularnost koju nalaz nasljeđuje.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Odvojite javnog slušatelja od administrativnog pristupa

VPN slušatelj koji prihvaća UDP 1194 s interneta i SSH usluga dostupna tek nakon odobrenja različiti su putovi izloženosti. Provjera koja pokriva prvi možda ne govori ništa o drugom, a provjera koja pokriva drugi možda ignorira prvi. Uspješan rezultat na jednom nije tvrdnja o drugom, koliko god slično zvučali na statusnom sastanku.

Tretirajte svaki put kao vlastiti red u pregledu.

Zatim provjerite što sam gateway odobrava. Prihvaćanje tunela nije isto kao davanje administrativnih prava na gatewayu, a ni jedno od toga nije jednako dosezanju poslužitelja iza njega. Podijelite pitanje na to ko se može povezati, ko može administrirati i što tunel može dosegnuti. Ta tri odgovora dolaze iz različitih sustava i rutinski se spajaju u jednu rečenicu prema kojoj nitko ne može postupiti.

Resurs odlučuje je li port uopće u opsegu

Pravilo sigurnosne grupe, unos u podmrežnom ACL-u i pravilo host firewall-a mogu svi propuštati promet, ali samo jedno od njih može biti objekt koji kontrola procjenjuje. Efektivno dopuštenje znači kombiniranje paralelnih grupa, obje adresne obitelji i svakog pravila zabrane ispred njih. Port koji padne na provjeri na razini grupe i dalje može biti nedostupan, a port koji je prođe i dalje može biti blokiran dublje.

Tu presađivanje pravila iz drugog okruženja pođe naopako. Mrežni ACL-ovi nemaju stanje i procjenjuju se redom; sigurnosne grupe čuvaju stanje i samo dopuštaju. Model pravila posuđen iz jednoga ne opisuje drugi, a njegovo prevođenje daje samouvjeren odgovor o pogrešnom objektu.

Zapišite odluku da je sljedeća revizija ponovno upotrijebi

Kada je opseg zaista dvosmislen, zapišite reviziju kontrole, identifikator resursa, predikat kako je citiran i dokaz koji ga je razriješio. Uključite što ste isključili i zašto. Taj zapis omogućuje drugom recenzentu da dođe do istog zaključka bez ponovnog čitanja cijelog mjerila, i jedino je što preživi fluktuaciju osoblja.

Bilješka „VPN port pregledan“ jamči da će se rasprava vratiti sljedećeg tromjesečja. Umjesto toga navedite procjenitelja, reviziju i dokaz.