Vrata VPN označena s primerjalnim testom? Preverite obseg nadzora

Vaš skener označi vrata VPN, zahtevek to preoblikuje v javnega poslušalca, in razprava, ki sledi, je o tem, ali je izpostavljenost resnična. Ugotovitev le redko pove tisto, kar bralec domneva. Navaja kontrolo primerjalnega testa s fiksnim obsegom, in številka vrat je le en vhod v ta obseg.

Preberite kontrolo, preden branite vrata. Ugotovitev, ki se bere kot sodba, je običajno predikat, uporabljen na enem viru.

Kaj vrstica ugotovitve dejansko navaja

Vsaka ugotovitev primerjalnega testa nosi štiri stvari, ki jih je vredno ločiti: dokument in revizijo, iz katerih izhaja, ocenjeni vir, predikat, ki je sprožil rezultat, in pokritost, ki jo je revizija dejansko dosegla. Ekipe običajno navajajo le vir — varnostno skupino, omrežni ACL ali gostitelja — in nato se prepirajo o vratih. Prav predikat odloča, ali je bil vaš poslušalec sploh v obsegu. Brez njega razpravljate o številu namesto o pravilu.

Dokumentacija Amazon Security Hub ohranja to ločitev vidno brez plačljivega PDF:stran s kontrolami EC2 navaja preglede varnostnih skupin za neomejen dostop na vratih 22 in 3389 ter omrežne ACL obravnava kot drug vir z lastnimi pogoji. Ista administrativna vrata, drug objekt, drug test. To je podrobnost, ki jo ugotovitev podeduje.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Ločite javnega poslušalca od administrativnega dostopa

Poslušalec VPN, ki sprejema UDP 1194 iz interneta, in storitev SSH, dostopna šele po odobritvi, sta različni poti izpostavljenosti. Pregled, ki pokriva prvega, morda ne pove ničesar o drugem, in pregled, ki pokriva drugega, morda ignorira prvega. Uspešen rezultat pri enem ni izjava o drugem, ne glede na to, kako podobno zvenita na sestanku o stanju.

Obravnavajte vsako pot kot svojo vrstico v pregledu.

Nato preverite, kaj dovoljuje sam prehod. Sprejeti tunel ni isto kot podeliti administrativne pravice na prehodu, in nobeno od tega ni enako doseganju strežnika za njim. Razdelite vprašanje na to, kdo se lahko poveže, kdo lahko upravlja in kaj lahko tunel doseže. Ti trije odgovori prihajajo iz različnih sistemov in se rutinsko zlijejo v en stavek, po katerem nihče ne more ukrepati.

Ali je vrata sploh v obsegu, odloča vir

Pravilo varnostne skupine, vnos v ACL podomrežja in pravilo gostiteljske požarne pregrade lahko vsi prepuščajo promet, a le eno od njih je lahko objekt, ki ga kontrola ocenjuje. Učinkovito dovoljenje pomeni združiti vzporedne skupine, obe družini naslovov in vsako pravilo zavrnitve pred njimi. Vrata, ki ne prestanejo pregleda na ravni skupine, so lahko še vedno nedosegljiva, in vrata, ki ga prestanejo, so lahko še vedno blokirana globlje.

Tu se presajanje pravil iz drugega okolja ponesreči. Omrežni ACL so brezstanjski in se ocenjujejo po vrsti; varnostne skupine so stanjski in samo dovoljujejo. Model pravil, izposojen iz enega, ne opisuje drugega, in njegov prevod daje samozavesten odgovor o napačnem objektu.

Zapišite odločitev, da jo bo naslednja revizija znova uporabila

Ko je obseg resnično dvoumen, zapišite revizijo kontrole, identifikator vira, navedeni predikat in dokaz, ki ga je razrešil. Vključite, kaj ste izključili in zakaj. Ta zapis je tisto, kar drugemu pregledovalcu omogoča, da pride do istega sklepa brez ponovnega branja celotnega primerjalnega testa, in je edino, kar preživi menjavo osebja.

Zapis »vrata VPN pregledana« zagotavlja, da se bo razprava vrnila naslednje četrtletje. Namesto tega navedite ocenjevalca, revizijo in dokaz.