Port VPN označený porovnávacím testom? Skontrolujte rozsah kontroly

Váš skener označí port VPN, ticket to preformuluje ako verejný listener a nasledujúca argumentácia je o tom, či je expozícia skutočná. Nález málokedy hovorí to, čo čitateľ predpokladá. Cituje kontrolu porovnávacieho testu s pevným rozsahom a číslo portu je len jeden vstup do tohto rozsahu.

Prečítajte si kontrolu skôr, než budete port obhajovať. Nález, ktorý sa číta ako verdikt, je zvyčajne predikát aplikovaný na jeden prostriedok.

Čo riadok nálezu skutočne cituje

Každý nález porovnávacieho testu nesie štyri veci, ktoré stojí za to oddeliť: dokument a revíziu, z ktorých pochádza, posudzovaný prostriedok, predikát, ktorý spustil výsledok, a pokrytie, ktoré audit skutočne dosiahol. Tímy zvyčajne citujú len prostriedok — bezpečnostnú skupinu, sieťový ACL alebo hostiteľa — a potom sa hádajú o porte. Práve predikát rozhoduje, či váš listener vôbec bol v rozsahu. Bez neho diskutujete o čísle namiesto o pravidle.

Dokumentácia Amazon Security Hub drží toto oddelenie viditeľné aj bez plateného PDF:stránka kontrol EC2 uvádza kontroly bezpečnostných skupín pre neobmedzený prístup na portoch 22 a 3389 a sieťové ACL berie ako iný prostriedok s vlastnými podmienkami. Rovnaké administratívne porty, iný objekt, iný test. To je granularita, ktorú nález dedí.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Oddeľte verejný listener od administratívneho prístupu

Listener VPN prijímajúci UDP 1194 z internetu a služba SSH dostupná až po povolení sú rôzne cesty expozície. Kontrola, ktorá pokrýva prvú, nemusí o druhej hovoriť nič, a kontrola pokrývajúca druhú môže prvú ignorovať. Úspešný výsledok pri jednej nie je tvrdením o druhej, nech už obe znejú na statusovej porade akokoľvek podobne.

Berte každú cestu ako vlastný riadok v prehľade.

Potom overte, čo povoľuje samotný gateway. Prijatie tunela nie je to isté ako udelenie administratívnych práv na gatewayi a ani jedno sa nerovná dosiahnutiu servera za ním. Rozdeľte otázku na to, kto sa môže pripojiť, kto môže spravovať a čoho môže tunel dosiahnuť. Tieto tri odpovede pochádzajú z rôznych systémov a rutinne sa zlievajú do jednej vety, podľa ktorej nikto nemôže konať.

O tom, či je port vôbec v rozsahu, rozhoduje prostriedok

Pravidlo bezpečnostnej skupiny, záznam v ACL podsiete a pravidlo hostiteľského firewallu môžu všetky prepúšťať prevádzku, ale len jedno z nich môže byť objektom, ktorý kontrola vyhodnocuje. Efektívne povolenie znamená skombinovať paralelné skupiny, obe rodiny adries a akékoľvek pravidlo odmietnutia pred nimi. Port, ktorý neprejde kontrolou na úrovni skupiny, môže byť stále nedostupný, a port, ktorý ňou prejde, môže byť stále zablokovaný hlbšie.

Tu sa presádzanie pravidiel z iného prostredia zvrtne. Sieťové ACL sú bezstavové a vyhodnocujú sa v poradí; bezpečnostné skupiny sú stavové a iba povoľujú. Model pravidiel vypožičaný z jedného neopisuje druhé a jeho preklad dáva sebavedomú odpoveď o nesprávnom objekte.

Zapíšte rozhodnutie, aby ho ďalší audit znovu použil

Keď je rozsah skutočne nejednoznačný, zapíšte revíziu kontroly, identifikátor prostriedku, citovaný predikát a dôkaz, ktorý to vyriešil. Uveďte, čo ste vylúčili a prečo. Práve tento záznam umožňuje druhému recenzentovi dospieť k rovnakému záveru bez opätovného čítania celého porovnávacieho testu a je jediné, čo prežije fluktuáciu zamestnancov.

Poznámka „port VPN skontrolovaný“ zaručuje, že sa argument vráti budúci štvrťrok. Vymenujte namiesto toho hodnotiteľa, revíziu a dôkaz.