Zasebna vrata ne potrjujejo programske opreme za njimi

To je razumen instinkt: če do poslušalca SSH pride le VPN, je izpostavljenost majhna in težava rešena. Izpostavljenost pa ni enaka celovitosti. Prva polovica drži, druga pa iz nje ne sledi. Dosegljivost nadzoruje, kdo lahko poskusi povezavo; celovitost programske opreme nadzoruje, kaj bo poslušalec storil, ko jo prejme. Vrata zožijo občinstvo in ne povedo ničesar o kodi za njimi.

Zasebna vrata so manjša vrata, ne druga ključavnica, in ta razlika odloči, kaj boste preverili naslednje.

Dve kontroli, dve vprašanji

Omrežna omejitev zmanjša izpostavljenost. Dovoljenim uporabnikom in vsakemu kompromitiranemu odobrenemu odjemalcu omogoči, da dosežejo prizadeto storitev. Popravek paketa obnovi programsko opremo in tudi ne zoži preširokega omrežnega dovoljenja. Vsaka kontrola opravi svoje delo in vsaka je lahko pravilna, medtem ko druga manjka. Skupni pregled je način, kako se ekipa prepriča, da ena pokriva obe, in to je natanko napaka, o kateri govori ta prispevek.

Končna točka VPN je tudi programska oprema in nosi isto obveznost. Njena uvrstitev na pot prinese lastno obveznost vzdrževanja in ne odpravi odgovornosti dobavne verige za nič za njo.

Kaj je razkritje XZ dejansko pokazalo

Razkritje XZ/liblzma iz marca 2024 je opisalo zadnja vrata, ki so v prizadetih pogojih lahko vodila v kompromitacijo strežnika SSH. Šlo je za težavo celovitosti programske opreme prav toliko kot za težavo izpostavljenosti, in ni bil dokaz, da je vsaka namestitev Linuxa imela ranljivo različico. Obseg izhaja iz prizadetih različic in distribucij, ki so jih dobavile, ne iz imena družine operacijskih sistemov.

Ta razlika je razlika med odzivom na incident in govoricami, in vredno je biti glede tega pedanten.

Zaprtje vrat ni obnovitev

Če se je kompromitacija morda že zgodila, sprememba dosegljivosti ni obnovitev. Zadnja vrata, ki so se izvedla, so že dobila priložnost; pravilo požarnega zidu ne potuje nazaj v času. Sledite odobrenemu postopku za incidente za gostitelja in za vse izpostavljene poverilnice ter ohranite dokaze, potrebne za ugotovitev, kaj se je dejansko izvedlo. Ponovna zgraditev iz znanih dobrih medijev je običajno del tega pogovora.

Uporabite tudi trenutno preverjeno priporočilo distribucije in njen postopek odprave ter berite seznam prizadetih različic namesto naslova. Kopiranje zgodovinskega ukaza za znižanje različice v nepovezano okolje je način, kako popravek postane nova izpostavljenost.

Preglejte oboje, ločeno

Postavite obe vprašanji v njunih lastnih izrazih. Kdo lahko doseže poslušalca in ali je to občinstvo natanko tisto, za katero je storitev namenjena? Katera različica programske opreme je nameščena, kdo je podpisal artefakt in kako organizacija izve za slabo izdajo, preden o njej prebere v novicah? Odgovori pripadajo različnim dokumentom z različnimi lastniki in noben lastnik ne more odgovoriti v imenu drugega.

Za upravljano floto je popis programske opreme kontrola, ki sploh omogoči, da je mogoče odgovoriti na drugo vprašanje. Brez njega vsako razkritje postane arheološki projekt z rokom.

Vrata zožijo občinstvo. Celovitost odloči, ali je občinstvo pomembno.