Një mur zjarri midis porteve nuk është kufi hosti

Faqja e uebit përgjigjet në 443, VPN përgjigjet në 1194, muri i zjarrit lejon saktësisht këto dy, dhe rishikimi kalon. Asgjë në atë sekuencë nuk pyeti çfarë mund të lexojë punëtori i uebit ose cilat skedarë mund të rishkruajë. Një punëtor i komprometuar nuk ka nevojë për një portë të hapur nëse mund të arrijë një socket kontrolli ose një drejtori konfigurimi ku mund të shkruhet. Kufiri është autoriteti, dhe dëgjuesit janë vetëm pjesa që shihet lehtë.

Një emër i veçantë shërbimi është etiketë; një identitet i veçantë është veti sigurie.

Numëroni autoritetin e punëtorit, jo portet

Filloni me përdoruesin e ekzekutimit, grupet e tij, aftësitë e tij dhe pamjen e sistemit të skedarëve. Një llogari shërbimi që i përket rastësisht një grupi VPN mund të lexojë material çelësi pa asnjë portë të hapur. Montimet ku mund të shkruhet janë gjysma tjetër: ngarkimet dhe memorjet e përkohshme duhet të qëndrojnë larg skedarëve të politikës dhe sekreteve, dhe një drejtori ku mund të shkruhet, e ndarë pa nevojë, prish emërtimin e rregullt. Kontrolloni procesin që do të kryente operacionin, sepse një prind i privilegjuar dhe punëtorë pa privilegje nuk ndajnë një autoritet.

Fakti që një çelës VPN lexohet gjatë nisjes së demonit nuk do të thotë që punëtori i uebit ka nevojë për të. Ndani leximin që bën demoni nga qasja që i jepet aplikacionit.

Sockets që japin më shumë nga sa duken

Disa pika fundore janë API administrative të veshura si rrjedhë metrikash. Ndërfaqja e menaxhimit të VPN mund të ndryshojë sesione, të shkëputë klientë dhe të lexojë gjendjen. Socket-i i mjedisit të ekzekutimit të kontejnerëve është edhe më i gjerë: qasja në të është në praktikë kontroll i hostit, shumë përtej asaj që i nevojitet një aplikacioni uebi. Asnjëra nuk i përket grupit të montimeve të një aplikacioni të zakonshëm, dhe asnjëra nuk shfaqet kur numëroni portet që dëgjojnë.

Lidhja e një dëgjuesi menaxhimi me një adresë lokale është fillim, jo kufizim i plotë, sepse çdo rrugë hyrjeje drejt asaj adrese vazhdon të ketë rëndësi. Lejoni vetëm burimet dhe ndërfaqet e parashikuara.

Kontejnerët ndajnë një bërthamë

Kontejnerët shtojnë kufij procesi, sistemi skedarësh dhe rrjeti, dhe ndajnë një bërthamë me hostin. Kjo i bën vendimtare zgjedhjet e aftësive, montimet e hostit dhe qasjen te demoni: montimi i sekreteve të hostit ose dhënia e kontrollit të privilegjuar të ekzekutimit fshin kufirin që sugjeron etiketa e kontejnerit. VM-të e veçanta japin vërtet bërthama mysafire të veçanta, ndërsa hipervizori, identitetet administrative, ruajtja dhe kopjet rezervë mbeten të ndara. Zgjidhni kufirin, konfigurimi dhe përditësimet e të cilit kanë një pronar të emërtuar.

Një rregullim më i ndërlikuar që askush nuk e mirëmban është më i keq se një i thjeshtë që rishikohet vërtet.

Testoni refuzimin, pastaj shërbimin

Përdorni kontrolle të miratuara në kontekstin e vërtetë të punëtorit për të konfirmuar se ai nuk mund të ndryshojë politikën e VPN, të lexojë sekrete të panevojshme ose të prekë ndërfaqen e menaxhimit. Një lexim i suksesshëm si administrator nuk teston asgjë për atë refuzim. Më pas verifikoni faqen e uebit, një operacion të zakonshëm VPN të lejuar dhe çfarë ndodh me secilin gjatë rinisjes. Ruani një rrugë rikuperimi që nuk varet nga riparimi i VPN, që një gabim të mbetet i rikuperueshëm.

Të dy rolet ende ndajnë CPU, memorie, kapacitetin e lidhjes ngjitëse dhe ngjarjet e mirëmbajtjes. Ato burime të ndara i përkasin planit edhe kur kufiri i autoritetit është i pastër.

Regjistroni çfarë mund të bëjë secili proces, çfarë dështon nëse ndalon dhe cili kufi mbetet i ndarë. Numri i porteve nuk është ai regjistrim.