Приватни порт не сведочи о софтверу иза себе

То је разуман инстинкт: ако само VPN стиже до SSH слушаоца, изложеност је мала и проблем је решен. Изложеност ипак није исто што и целовитост. Прва половина је тачна, а друга из ње не следи. Доступност контролише коме је дозвољено да покуша везу; целовитост софтвера контролише шта ће слушалац урадити када је добије. Капија сужава публику и не говори ништа о коду иза ње.

Приватни порт су мања врата, а не друга брава, и та разлика одлучује шта ћете следеће проверити.

Две контроле, два питања

Мрежно ограничење смањује изложеност. Оно оставља дозвољене кориснике, и сваког компромитованог одобреног клијента, у стању да досегну погођену услугу. Исправљање пакета враћа софтвер и притом не сужава прешироку мрежну дозволу. Свака контрола ради свој посао и свака може бити исправна док друга недостаје. Заједнички преглед је начин на који се тим уверава да једна покрива обоје, а то је управо грешка о којој говори овај текст.

VPN крајња тачка је такође софтвер и носи исту обавезу. Додавање у пут уводи сопствену обавезу одржавања и не уклања одговорност ланца снабдевања за све иза ње.

Шта је објава о XZ-у заправо показала

Објава о XZ/liblzma из марта 2024. описала је задња врата која су под погођеним условима могла довести до компромитације SSH сервера. Био је то проблем целовитости софтвера колико и проблем изложености, и није био доказ да свака Linux инсталација носи рањиву градњу. Обим долази из погођених верзија и дистрибуција које су их испоручиле, а не из имена породице оперативног система.

Та разлика је разлика између реакције на инцидент и гласине, и вреди бити педантан у вези с тим.

Затварање порта није опоравак

Ако се компромитација можда већ догодила, промена доступности није опоравак. Задња врата која су се извршила већ су имала своју прилику; правило заштитног зида не путује уназад кроз време. Следите одобрени процес за инциденте за хост и за све изложене приступне податке, и сачувајте доказе потребне да се утврди шта се заиста извршило. Поновна изградња са познатих исправних медија обично је део тог разговора.

Користите и тренутни проверени савет и процес санације дистрибуције, и читајте списак погођених верзија уместо наслова. Копирање историјске команде за враћање верзије у неповезано окружење је начин на који поправка постаје нова изложеност.

Прегледајте обоје, одвојено

Поставите два питања њиховим сопственим речима. Ко може досегнути слушаоца и да ли је та публика тачно она којој је услуга намењена? Која верзија софтвера је инсталирана, ко је потписао артефакт и како организација сазна за лоше издање пре него што то прочита у вестима? Одговори припадају различитим документима са различитим власницима, и ниједан власник не може одговорити за другог.

За управљану флоту, инвентар софтвера је контрола која уопште чини друго питање одговоривим. Без њега свака објава постаје археолошки пројекат с роком.

Капија сужава публику. Целовитост одлучује да ли је публика важна.