VPN порт означен мерилом? Проверите обухват контроле

Ваш скенер означи VPN порт, тикет то преформулише као јавни слушалац, а расправа која следи односи се на то да ли је изложеност стварна. Налаз ретко каже оно што читалац претпоставља. Он цитира контролу мерила с фиксним обухватом, а број порта је само један улаз у тај обухват.

Прочитајте контролу пре него што браните порт. Налаз који се чита као пресуда обично је предикат примењен на један ресурс.

Шта ред налаза заправо цитира

Сваки налаз мерила носи четири ствари које вреди раздвојити: документ и ревизију из којих долази, процењени ресурс, предикат који је покренуо резултат и покривеност коју је ревизија стварно постигла. Тимови обично цитирају само ресурс — безбедносну групу или мрежни ACL или хост — а затим расправљају о порту. Предикат одлучује да ли је ваш слушалац уопште био у обухвату. Без њега расправљате о броју уместо о правилу.

Документација Amazon Security Hub одржава то раздвајање видљивим без PDF-а иза платеног зида:страница с EC2 контролама наводи провере безбедносних група за неограничен приступ на портовима 22 и 3389 и третира мрежне ACL-ове као други ресурс са сопственим условима. Исти административни портови, други објекат, други тест. То је грануларност коју налаз наслеђује.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Одвојите јавни слушалац од административног приступа

VPN слушалац који прихвата UDP 1194 са интернета и SSH услуга доступна тек након одобрења различити су путеви изложености. Провера која покрива први можда не говори ништа о другом, а провера која покрива други можда игнорише први. Успешан резултат на једном није тврдња о другом, колико год слично звучали на статусном састанку.

Третирајте сваки пут као сопствени ред у прегледу.

Затим проверите шта сам гејтвеј одобрава. Прихватање тунела није исто као давање административних права на гејтвеју, а ни једно од тога није једнако достизању сервера иза њега. Поделите питање на то ко може да се повеже, ко може да администрира и шта тунел може да достигне. Та три одговора долазе из различитих система и рутински се спајају у једну реченицу по којој нико не може да поступи.

Ресурс одлучује да ли је порт уопште у обухвату

Правило безбедносне групе, унос у ACL-у подмреже и правило хост заштитног зида могу сви да пропуштају саобраћај, али само једно од њих може бити објекат који контрола процењује. Ефективна дозвола значи комбиновање паралелних група, обе адресне породице и сваког правила забране испред њих. Порт који падне на провери на нивоу групе и даље може бити недоступан, а порт који је прође и даље може бити блокиран дубље.

Ту пресађивање правила из другог окружења пође наопако. Мрежни ACL-ови су без стања и процењују се по реду; безбедносне групе чувају стање и само дозвољавају. Модел правила позајмљен из једног не описује други, а његов превод даје самоуверен одговор о погрешном објекту.

Запишите одлуку да је следећа ревизија поново употреби

Када је обухват заиста двосмислен, запишите ревизију контроле, идентификатор ресурса, цитирани предикат и доказ који га је разрешио. Укључите шта сте искључили и зашто. Тај запис омогућава другом рецензенту да дође до истог закључка без поновног читања целог мерила, и једино је што преживи промену особља.

Белешка „VPN порт прегледан“ гарантује да ће се расправа вратити следећег квартала. Уместо тога наведите процењивача, ревизију и доказ.