හානි වූ වෙබ් ද්වාරයකට තවමත් ළඟා විය හැක්කේ කොහෙටද?
වෙබ් ද්වාරය සීමා කරන්නේ අමුත්තා කුමක් විවෘත කරයිද යන්නය, හානි වූ සත්කාරකයකට ළඟා විය හැක්කේ කොහෙටද යන්න නොවේ. සමාලෝචන දෙකක්, අධිකාරි වගුවක් සහ ප්‍රවේශය මැනීමේ විධාන.
ද්වාරයේ සත්කාරකය එහි සහතිකය තවමත් වලංගුව ඇති විට හානි වී ඇතැයි සිතමු. අමුත්තකුට කුමන පිටු ඉල්ලිය හැකිද යන්න නියම කළ සෑම නීතියක්ම බලපවත්වයි, එම නීති කිසිවක් ප්‍රහාරකයා දැන් එම සත්කාරකයේ සිට දත්ත සමුදායේ උපජාලය දෙසට විවෘත කරන සම්බන්ධතාවය සීමා නොකරයි. මෙම පරතරය නිසාම වෙබ්-පමණක් පිවිසුම් ලක්ෂ්‍යය ඛණ්ඩනය කළ ජාලයක් හා සමාන ප්‍රකාශයක් නොවේ. ප්‍රකාශ දෙකටම වෙන වෙනම සමාලෝචන අවශ්‍ය වේ, වෙනස් ආරම්භක ස්ථානවලින්, ඉන් එකක්වත් අවංකව කළ හැකි වීමට පෙර.
ප්‍රකාශ දෙකක්, ඉන් එකක් පමණක් අමුත්තාගෙන් ආරම්භ වේ
පළමු ප්‍රකාශය පුද්ගලයෙකු ගැනය: බ්‍රවුසරයක් සහ වලංගු සැසියක් ඇති අමුත්තකුට එක් යෙදුමක් විවෘත කළ හැක, ඊට වැඩි කිසිවක් නොවේ. වෙබ්-පමණක් පිවිසුම් ලක්ෂ්‍යය එම ප්‍රකාශයට හොඳින් පිළිතුරු දෙයි, මන්ද අමුත්තාට මාර්ගයක් නොව පිටුවක් ලැබේ. එම පිළිතුර තබා ගැනීම වටී, එය බොහෝ රූප සටහන් වාර්තා කරන එකම ප්‍රකාශයද වේ.
දෙවන ප්‍රකාශය සංරචකයක් ගැනය: ද්වාරය, හෝ එහි පිටුපස ඇති යෙදුම් ක්‍රියාවලිය, වෙනත් අයෙකුගේ පාලනය යටතේ ඇතැයි උපකල්පනය කෙරේ. එම උපකල්පනයෙන් ප්‍රශ්නය කුමන URL අවසර දී ඇත්ද යන්නෙන් ක්‍රියාවලියට තවමත් ළඟා විය හැකි ගමනාන්ත සහ අනන්‍යතා වෙතට වෙනස් වේ.
ප්‍රකාශ දෙකට වෙනස් හිමිකරුවන් ඇත, ඒවා වෙනස් සාක්ෂි නිපදවයි, ස්වාධීනව අසාර්ථක වේ. අනන්‍යතා කණ්ඩායමකට සැසි පරීක්ෂණයකින් පළමුවැන්න පෙන්විය හැක; දෙවැන්නට ජාල ප්‍රතිපත්තිය, සේවා ගිණුම් සමාලෝචනය සහ සත්කාරක පාලන අවශ්‍ය වේ. අමුත්තාගේ අඩක් පමණක් වාර්තා කරන නිර්මාණයක් සමාලෝචන ස්ලයිඩයේ සම්පූර්ණ ලෙසත් සිද්ධියක් අතරතුර තුනී ලෙසත් පෙනේ, මන්ද හානියට පසුව වැදගත් වන පාලන කිසිදා විෂය පථයේ නොතිබුණි. එක් එක් පාලනය ආධාර කරන ප්‍රකාශය නම් කරන්න, නැතහොත් එක් ද්වාර නියමයක් දෙකටම බැර කෙරේ.
වැඩ කළ වියදම් සේවාවක්, සහ එය පරාජය වන ක්‍රම දෙක
වියදම් සේවාවක් ගන්න: 10.60.4.10 හි පොදු ද්වාරයක් කාර්ය මණ්ඩලය සත්‍යාපනය කර අනුමත ඉල්ලීම් 8443 තොටුපළේ යෙදුම් ශ්‍රෝතාවට යවයි, එම යෙදුම expenses_app භූමිකාව ලෙස 10.60.4.20:5432 හි එක් PostgreSQL ශ්‍රෝතාවකට ළඟා වේ. සේවකයින්ට සාමාන්‍ය අභ්‍යන්තර ප්‍රවේශය ලැබිය යුතු නොවේ. සාමාන්‍ය ක්‍රියාකාරිත්වයේදී නිර්මාණය සැබවින්ම දත්ත සමුදායේ ශ්‍රෝතාව කොහේවත් ප්‍රකාශ නොකර යෙදුමට විශේෂිත පිවිසුමක් ලබා දෙයි. ලිපින වැදගත් වේ, මන්ද මෙම ලිපියේ සෑම පසු විපරමක්ම ඒවා නම් කරයි.
දැන් ද්වාරය විශ්වාසදායක කට්ටලයෙන් ඉවත් කරන්න. 10.60.4.10 හි ක්‍රියාවලිය ප්‍රහාරකයාට අයත් වූ පසු එයට තව ළඟා විය හැකි ගමනාන්ත මොනවාද? අමුත්තන් සීමා කළ URL පෙරහන ද්වාර සත්කාරකය දත්ත සමුදායේ උපජාලය දෙසට විවෘත කරන සම්බන්ධතාවය ගැන කිසිවක් නොකියයි.
ඒ වෙනුවට යෙදුම් ක්‍රියාවලිය ඉවත් කරන්න, එවිට අධිකාරිය හැඩය වෙනස් කරයි: expenses_app භූමිකාව, එම සර්වරයට ළඟා විය හැකි සේවා, සහ එම ගිණුමට කියවිය හැකි ගොනු. දෙකෙහිම ඉදිරි දොර වෙබ්-පමණක් ලෙස පැවතිය හැකි අතර පසුපස මායිම නොපවතී. එබැවින් ඉදිරි දොරේ ලේබලය ප්‍රශ්න දෙකෙන් කිසිවකට පිළිතුරක් නොවේ.
සෑම පාර්ශ්වයක්ම සැබවින්ම දරන අධිකාරිය සිතියම් කරන්න
අපේක්ෂිත අවසර ලෙස ලියා ඇති ගිවිසුමක් නිර්මාණය ඔබට නැවත පවසයි. එය දරන ලද අධිකාරිය, අතිරික්තය ප්‍රතික්ෂේප කරන පරීක්ෂණය සහ එම පරීක්ෂණයේ හිමිකරු ලෙස ලියන්න, එවිට සෑම පේළියක්ම පරීක්ෂා කළ හැකි වේ. මෙම වගුව ඉහත උදාහරණයට යෝජනාවක් මිස නිෂ්පාදන ප්‍රකාශයක් නොවේ:
| Component | Authority it actually holds | Check that proves the denial | Owner of the check |
|---|---|---|---|
| Identity provider | Issues assertions and session cookies, and holds no network path of its own | A request to the application URL without a session is redirected to the login page | Identity team |
| Public gateway host | TCP reachability to whatever its routing table and egress rules permit | An egress rule drops 10.60.4.20:5432 and the probe reports the port filtered | Network platform team |
| Application role | SQL privileges granted to expenses_app inside the expenses database | A privilege query shows no ownership or create right on any other schema | Application team |
| Database listener | Accepts connections only from the source ranges named in its host-based rules | A connection from an unlisted address is refused before authentication | Database administrator |
| Management path | Administrative access reserved for patching, monitoring and recovery | A staff workstation cannot reach the administrative port or jump through it | Platform owner |
හිමිකාරිත්වය අධිකාරිය පසුපස යයි. අනන්‍යතා කණ්ඩායම ප්‍රකාශ හිමිකර ගනී, ජාල වේදිකා කණ්ඩායම මාර්ග, යෙදුම් කණ්ඩායම දත්ත සමුදායේ භූමිකාව, දත්ත සමුදාය පරිපාලක ශ්‍රෝතාව සහ එහි සත්කාරක පාදක නීති, සහ වේදිකා හිමිකරු කළමනාකරණ තලය හිමිකර ගනී. හිමිකරු නොමැති ප්‍රතික්ෂේපයක් ලේඛනයේ වාක්‍යයක් මිස පාලනයක් නොවේ.
මෙම බෙදීම දෙගුණ ගණන් කිරීමද වළක්වයි. තොටුපළ සීමාවකට වගු වරප්‍රසාදයක් ප්‍රකාශ කළ නොහැක, දත්ත සමුදායේ භූමිකාවකට සත්කාරකයක් අසම්බන්ධිත උපජාලයකට සොකට් විවෘත කිරීම වළක්වා ගත නොහැක.
ද්වාරයට ළඟා විය හැක්කේ කොහෙටද යන්න ප්‍රකාශ කරනවාට වඩා ගණන් කරන්න
මායිම් ප්‍රකාශයක් එහි පිටුපස ඇති ගණන් කිරීම තරමටම හොඳය. ද්වාර සත්කාරකයේ, විධාන තුනක් මාර්ග තේරීම, සජීවී පරීක්ෂාව සහ පිටවීමේ ප්‍රතිපත්තිය ආවරණය කරයි:
ip route get 10.60.4.20
nc -zv 10.60.4.20 5432
sudo nft list chain inet filter outputප්‍රතිදානය එම අනුපිළිවෙලින් කියවන්න. මාර්ගය කියන්නේ 10.60.4.20 එම සත්කාරකයෙන් තෝරා ගනීද යන්නය; පරීක්ෂාව කියන්නේ ශ්‍රෝතාව පිළිතුරු දෙයිද යන්නය; නීති ලැයිස්තුව පෙන්වන්නේ ප්‍රතිපත්තිය පැකට්ටුව නවත්වයිද නැතහොත් එහි මාර්ගයේ කිසිදා කිසිවක් නොතිබුණිද යන්නය.
යෙදුම් සත්කාරකයේ සිට ගණන් කිරීම නැවත කරන්න. එතැන් සිට දත්ත සමුදාය පැත්ත යෙදුම් භූමිකාව ලෙස ධාවනය කරන එක් විමසුමකි:
psql -h 10.60.4.20 -U expenses_app -d expenses -c 'select rolname, rolsuper, rolcreatedb from pg_roles'වෙනත් ස්කීමාවක් කියවිය නොහැකි භූමිකාවක් යටතේ සාර්ථක සම්බන්ධතාවයක් හිමිකරු භූමිකාවක් යටතේ සාර්ථක සම්බන්ධතාවයකට වඩා වෙනස් ප්‍රතිඵලයකි. දෙවැන්න පමණක් සොයාගැනීමකි.
ප්‍රතික්ෂේප වාර්තා කරන්න, පසුව සමාලෝචනයට දින දෙන්න
පිළිගැනීම අභිප්‍රායන් ලෙස නොව ප්‍රතිඵල ලෙස ලියැවේ: සේවක සැසියකට ශ්‍රෝතාවට ළඟා විය නොහැක, ද්වාර සත්කාරකයට අසම්බන්ධිත උපජාලයකට ළඟා විය නොහැක, සහ යෙදුම් භූමිකාවට දත්ත සමුදායක් සෑදිය නොහැක. එක් එක් නම් කළ හිමිකරු සහ දිනයක් සහිත වෙන වෙනම පරීක්ෂාවකි.
අධීක්ෂණය, පැචින් සහ ප්‍රතිසාධනය ඒවා සඳහා නිර්මාණය කළ කළමනාකරණ මාර්ගය හරහා ළඟා විය හැකි ලෙස තබා ගන්න. තම හිමිකරුව ද අවහිර කරන මායිමක් බාධාවක් බවට පත් වේ, එම බාධාවට සාමාන්‍ය පළමු ප්‍රතිචාරය නියමය නැවත පුළුල් කිරීමයි. CISA මායිම් මාර්ගෝපදේශය ඇතුළත සහ පිටත ප්‍රවේශය යුක්ති සහගත තොටුපළ සහ ප්‍රොටොකෝලවලට සීමා කරන ලෙස ඉල්ලා සිටී, අභ්‍යන්තර ජාල අතර ගමන් ප්‍රවාහය ඇතුළුව, එය පසුපසින් ආරම්භ වන දිශාව වන අතර බොහෝ රූප සටහන් එය අත්හැර දමයි.
සමාලෝචනයට දින දෙන්න සහ එහි හිමිකරු නම් කරන්න. ද්වාර රූපය, මාර්ගකරණ වගුව හෝ යෙදුම් භූමිකාව වෙනස් වූ පසු ගණන් කිරීම සහ වරප්‍රසාද විමසුම නැවත ධාවනය කරන්න.