Një port privat nuk vërteton softuerin pas tij

Është një instinkt i arsyeshëm: nëse vetëm VPN-ja arrin te dëgjuesi SSH, ekspozimi është i vogël dhe problemi është zgjidhur. Megjithatë ekspozimi nuk është i njëjtë me integritetin. Gjysma e parë është e vërtetë dhe e dyta nuk rrjedh prej saj. Arritshmëria kontrollon kush mund të provojë një lidhje; integriteti i softuerit kontrollon çfarë do të bëjë dëgjuesi kur të marrë një të tillë. Një portë ngushton publikun dhe nuk thotë asgjë për kodin pas saj.

Një port privat është një derë më e vogël, jo një bravë tjetër, dhe ky dallim vendos çfarë do të kontrolloni më pas.

Dy kontrolle, dy pyetje

Një kufizim rrjeti zvogëlon ekspozimin. Ai i lë përdoruesit e lejuar, dhe çdo klient të miratuar të kompromituar, në gjendje të arrijnë shërbimin e prekur. Rregullimi i paketës rikthen softuerin, dhe gjithashtu nuk ngushton një leje rrjeti tepër të gjerë. Çdo kontroll bën punën e vet, dhe secili mund të jetë i saktë ndërsa tjetri mungon. Shqyrtimi i tyre së bashku është mënyra se si një ekip bind veten se njëri mbulon të dyja, dhe pikërisht ky është gabimi për të cilin flet ky shkrim.

Pika fundore e VPN-së është gjithashtu softuer, dhe mbart të njëjtin detyrim. Shtimi i saj në rrugë sjell detyrimin e vet të mirëmbajtjes dhe nuk heq përgjegjësinë e zinxhirit të furnizimit për asgjë pas saj.

Çfarë tregoi në të vërtetë zbulimi i XZ

Zbulimi i XZ/liblzma në mars 2024 përshkroi një derë të pasme që mund të çonte në kompromitimin e një serveri SSH në kushte të prekura. Ishte një problem integriteti softueri po aq sa një problem ekspozimi, dhe nuk ishte provë se çdo instalim i Linux mbante ndërtimin e cenueshëm. Shtrirja vjen nga versionet e prekura dhe shpërndarjet që i dërguan ato, jo nga emri i familjes së sistemit operativ.

Ky dallim është dallimi mes një përgjigjeje ndaj incidentit dhe një thashetheme, dhe ia vlen të jesh pedant për këtë.

Mbyllja e portit nuk është rikuperim

Nëse kompromitimi mund të ketë ndodhur tashmë, ndryshimi i arritshmërisë nuk është rikuperim. Një derë e pasme që u ekzekutua e ka pasur tashmë mundësinë; një rregull muri zjarri nuk udhëton mbrapsht në kohë. Ndiqni procesin e miratuar të incidenteve për hostin dhe për çdo kredencial të ekspozuar, dhe ruani provat e nevojshme për të përcaktuar çfarë u ekzekutua në të vërtetë. Rindërtimi nga media të njohura si të mira është zakonisht pjesë e asaj bisede.

Përdorni gjithashtu njoftimin e verifikuar aktual të shpërndarjes dhe procesin e saj të korrigjimit, dhe lexoni listën e versioneve të prekura në vend të titullit. Kopjimi i një komande historike të uljes së versionit në një mjedis të palidhur është mënyra se si një rregullim bëhet një ekspozim i ri.

Shqyrtoni të dyja, veçmas

Bëni dy pyetjet me termat e tyre. Kush mund të arrijë te dëgjuesi, dhe a është ky publik pikërisht publiku për të cilin është menduar shërbimi? Cili version i softuerit është i instaluar, kush e nënshkroi artefaktin, dhe si e mëson organizata për një version të keq përpara se ta lexojë në lajme? Përgjigjet i përkasin dokumenteve të ndryshme me pronarë të ndryshëm, dhe asnjë pronar nuk mund të përgjigjet në vend të tjetrit.

Për një flotë të menaxhuar, inventari i softuerit është kontrolli që e bën pyetjen e dytë fare të përgjigjshme. Pa të, çdo zbulim bëhet një projekt arkeologjik me afat.

Një portë ngushton publikun. Integriteti vendos nëse publiku ka rëndësi.