Porta VPN e shënuar nga një benchmark? Kontrollo shtrirjen e kontrollit

Skaneri yt shënon portën VPN, bileta e parafrazon atë si një dëgjues publik, dhe argumenti që vijon ka të bëjë me atë nëse ekspozimi është real. Gjetja rrallë thotë atë që supozon lexuesi. Ajo citon një kontroll benchmark me shtrirje fikse, dhe numri i portës është vetëm një hyrje në atë shtrirje.

Lexo kontrollin përpara se të mbresh portën. Një gjetje që lexohet si verdikt është zakonisht një predikat i zbatuar mbi një burim të vetëm.

Çfarë citon në të vërtetë rreshti i gjetjes

Çdo gjetje benchmark mbart katër gjëra që ia vlen t'i ndash: dokumentin dhe revizionin nga i cili vjen, burimin e vlerësuar, predikatin që shkaktoi rezultatin dhe mbulimin që auditimi arriti në të vërtetë. Ekipet zakonisht citojnë vetëm burimin — një grup sigurie, një ACL rrjeti ose një host — dhe pastaj debattojnë për portën. Predikati është ai që vendos nëse dëgjuesi yt ishte fare brenda shtrirjes. Pa të, ju debatoni për një numër në vend të një rregulli.

Dokumentacioni i Amazon Security Hub e mban atë ndarje të dukshme pa një PDF pas murit të pagesës:faqja e kontrolleve EC2 liston kontrollet e grupeve të sigurisë për akses të pakufizuar në portat 22 dhe 3389, dhe i trajton ACL-të e rrjetit si një burim tjetër me kushtet e veta. Të njëjtat porta administrative, objekt tjetër, test tjetër. Kjo është granuraliteti që trashëgon një gjetje.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Ndaj dëgjuesin publik nga aksesi administrativ

Një dëgjues VPN që pranon UDP 1194 nga interneti dhe një shërbim SSH i arritshëm vetëm pas pranimit janë rrugë të ndryshme ekspozimi. Kontrolli që mbulon të parin mund të mos thotë asgjë për të dytin, dhe kontrolli që mbulon të dytin mund të injorojë të parin. Një rezultat kalues në njërin nuk është deklaratë për tjetrin, sado të ngjashëm tingëllojnë të dy në një mbledhje statusi.

Trajto çdo rrugë si rreshtin e vet në rishikim.

Pastaj verifiko çfarë autorizon vetë porta e rrjetit. Pranimi i një tuneli nuk është njësoj si dhënia e të drejtave administrative në portën e rrjetit, dhe asnjëra prej tyre nuk është e barabartë me arritjen e një serveri pas saj. Ndaj pyetjen në kush mund të lidhet, kush mund të administrojë dhe çfarë mund të arrijë tuneli. Këto tre përgjigje vijnë nga sisteme të ndryshme dhe zakonisht bashkohen në një fjali mbi të cilën askush nuk mund të veprojë.

Është burimi ai që vendos nëse porta është fare brenda shtrirjes

Një rregull grupi sigurie, një hyrje ACL nënrrjeti dhe një rregull firewall hosti mund të lejojnë të gjithë trafikun, por vetëm njëri prej tyre mund të jetë objekti që vlerëson kontrolli. Leja efektive do të thotë të kombinosh grupe paralele, të dyja familjet e adresave dhe çdo rregull refuzimi përpara tyre. Një portë që dështon në një kontroll në nivel grupi mund të jetë ende e paarritshme, dhe një portë që e kalon atë mund të jetë ende e bllokuar më thellë.

Këtu transplantimi i rregullave të një mjedisi tjetër shkon keq. ACL-të e rrjetit janë pa gjendje dhe vlerësohen sipas radhës; grupet e sigurisë kanë gjendje dhe vetëm lejojnë. Një model rregullash i huazuar nga njëri nuk e përshkruan tjetrin, dhe përkthimi i tij jep një përgjigje të sigurt për objektin e gabuar.

Regjistro vendimin që auditimi tjetër ta ripërdorë

Kur shtrirja është vërtet e paqartë, shkruaj revizionin e kontrollit, identifikuesin e burimit, predikatin siç citohet dhe provën që e zgjidhi. Përfshi çfarë përjashtove dhe pse. Ky regjistrim është ai që i lejon një rishikuesi të dytë të arrijë të njëjtin përfundim pa rilexuar të gjithë benchmark-un, dhe është e vetmja gjë që i mbijeton qarkullimit të stafit.

Një shënim që thotë «porta VPN u rishikua» garanton që debati të kthehet tremujorin tjetër. Përmend në vend të kësaj vlerësuesin, revizionin dhe provën.