Заштитни зид између портова није граница хоста

Веб сајт одговара на 443, VPN одговара на 1194, заштитни зид пропушта тачно та два, и преглед пролази. Ништа у том низу није питало шта веб радник може да чита или које датотеке може поново да напише. Компромитован радник не треба отворен порт ако може да стигне до контролне утичнице или директоријума конфигурације у који може да се пише. Граница је овлашћење, а слушаоци су само део који је лако видети.

Одвојено име услуге је ознака; одвојен идентитет је безбедносно својство.

Бројте овлашћења радника, не портове

Почните са корисником извршавања, његовим групама, његовим могућностима и његовим погледом на датотечни систем. Сервисни налог који случајно припада VPN групи може да чита кључни материјал без иједног отвореног порта. Места за монтирање у која може да се пише су друга половина: отпремања и кешеви треба да стоје далеко од датотека политике и тајни, а непотребно дељен директоријум у који може да се пише уништава уредно именовање. Проверите процес који би извршио операцију, јер привилеговани родитељ и непривилеговани радници не деле исто овлашћење.

То што је VPN кључ читљив при покретању демона не значи да је веб раднику потребан. Одвојте читање које обавља демон од приступа који се даје апликацији.

Утичнице које дају више него што изгледају

Неке крајње тачке су административни API-ји у костиму тока метрика. Интерфејс за управљање VPN-ом може да мења сесије, искључује клијенте и чита стање. Утичница контејнерског извршног окружења је још шира: приступ њој је у пракси контрола хоста, далеко изнад онога што је веб апликацији потребно. Ниједно од тога не припада скупу монтирања обичне апликације и ниједно се не појављује када бројите портове који слушају.

Везивање управљачког слушаоца за локалну адресу је почетак, а не потпуно ограничење, јер је сваки улазни пут до те адресе и даље важан. Дозволите само предвиђене изворе и интерфејсе.

Контејнери деле једно језгро

Контејнери додају границе процеса, датотечног система и мреже и деле једно језгро са хостом. То чини одлучујућим избор могућности, монтирања хоста и приступ демону: монтирање тајни хоста или давање привилеговане контроле извршавања брише границу коју ознака контејнера наговештава. Одвојене VM заиста дају одвојена гостујућа језгра, док хипервизор, административни идентитети, складиштење и резервне копије остају дељени. Изаберите границу чија конфигурација и ажурирања имају именованог власника.

Сложенији распоред који нико не одржава гори је од једноставног који се заиста прегледа.

Прво тестирајте одбијање, па услугу

Користите одобрене провере у стварном контексту радника да потврдите да не може да мења VPN политику, чита непотребне тајне или дотакне интерфејс за управљање. Успешно читање као администратор не тестира ништа у вези са тим одбијањем. Затим проверите веб сајт, уобичајену дозвољену VPN операцију и шта се са сваком дешава при поновном покретању. Сачувајте пут опоравка који не зависи од поправке VPN-а, да грешка остане поправљива.

Обе улоге и даље деле CPU, меморију, капацитет узлазне везе и догађаје одржавања. Ти дељени ресурси припадају плану и када је граница овлашћења чиста.

Забележите шта може да ради сваки процес, шта отказује ако се заустави и која граница остаје дељена. Број портова није тај запис.