ไฟร์วอลล์ระหว่างพอร์ตไม่ใช่ขอบเขตของโฮสต์

เว็บไซต์ตอบบน 443 VPN ตอบบน 1194 ไฟร์วอลล์อนุญาตเฉพาะสองพอร์ตนั้น และการตรวจสอบผ่าน ไม่มีสิ่งใดในลำดับนั้นถามว่าผู้ปฏิบัติงานเว็บอ่านอะไรได้หรือเขียนไฟล์ใดใหม่ได้ ผู้ปฏิบัติงานที่ถูกบุกรุกไม่จำเป็นต้องมีพอร์ตที่เปิดอยู่หากเข้าถึงซ็อกเก็ตควบคุมหรือไดเรกทอรีการกำหนดค่าที่เขียนได้ ขอบเขตคืออำนาจ และผู้รับฟังเป็นเพียงส่วนที่มองเห็นได้ง่าย

ชื่อบริการแยกเป็นเพียงป้ายกำกับ ตัวตนที่แยกต่างหากคือคุณสมบัติด้านความปลอดภัย

นับอำนาจของผู้ปฏิบัติงาน ไม่ใช่พอร์ต

เริ่มจากผู้ใช้ที่รันไทม์ กลุ่ม ความสามารถ และมุมมองระบบไฟล์ของผู้นั้น บัญชีบริการที่บังเอิญอยู่ในกลุ่ม VPN สามารถอ่านวัสดุกุญแจได้โดยไม่ต้องเปิดพอร์ตใดเลย จุดเมานต์ที่เขียนได้คืออีกครึ่งหนึ่ง: การอัปโหลดและแคชควรอยู่ห่างจากไฟล์นโยบายและความลับ และไดเรกทอรีที่เขียนได้ซึ่งแชร์โดยไม่จำเป็นก็ทำลายการตั้งชื่อที่เป็นระเบียบ ตรวจสอบโพรเซสที่จะดำเนินการ เพราะโพรเซสแม่ที่มีสิทธิ์พิเศษกับผู้ปฏิบัติงานที่ไม่มีสิทธิ์ไม่ได้ใช้อำนาจเดียวกัน

การที่กุญแจ VPN อ่านได้ตอนเริ่มเดมอนไม่ได้หมายความว่าผู้ปฏิบัติงานเว็บต้องการมัน แยกการอ่านที่เดมอนทำออกจากสิทธิ์ที่ให้แอปพลิเคชัน

ซ็อกเก็ตที่ให้มากกว่าที่เห็น

บางปลายทางเป็น API สำหรับผู้ดูแลระบบที่แต่งกายเป็นฟีดเมตริก อินเทอร์เฟซการจัดการของ VPN เปลี่ยนเซสชัน ตัดการเชื่อมต่อไคลเอนต์ และอ่านสถานะได้ ซ็อกเก็ตของรันไทม์คอนเทนเนอร์กว้างกว่านั้นอีก: การเข้าถึงมันคือการควบคุมโฮสต์โดยแท้จริง ไกลเกินกว่าที่แอปเว็บต้องการ ทั้งสองไม่อยู่ในชุดเมานต์ของแอปพลิเคชันทั่วไป และทั้งสองไม่ปรากฏเมื่อนับพอร์ตที่รับฟัง

การผูกตัวรับฟังการจัดการกับที่อยู่โลคอล เป็นจุดเริ่มต้น ไม่ใช่ข้อจำกัดที่สมบูรณ์ เพราะทุกเส้นทางเข้าสู่ที่อยู่นั้นยังคงสำคัญ อนุญาตเฉพาะแหล่งและอินเทอร์เฟซที่ตั้งใจไว้

คอนเทนเนอร์ใช้เคอร์เนลร่วมกัน

คอนเทนเนอร์เพิ่มขอบเขตของโพรเซส ระบบไฟล์ และเครือข่าย และใช้เคอร์เนลเดียวกับโฮสต์ สิ่งนี้ทำให้การเลือกความสามารถ เมานต์ของโฮสต์ และการเข้าถึงเดมอนเป็นเรื่องชี้ขาด: การเมานต์ความลับของโฮสต์หรือให้การควบคุมรันไทม์ที่มีสิทธิ์พิเศษจะลบขอบเขตที่ป้ายกำกับคอนเทนเนอร์บอกไว้ VM แยกให้เคอร์เนลแขกแยกจริง ในขณะที่ไฮเปอร์ไวเซอร์ ตัวตนสำหรับผู้ดูแลระบบ พื้นที่เก็บข้อมูล และข้อมูลสำรองยังคงใช้ร่วมกัน เลือกขอบเขตที่การกำหนดค่าและการอัปเดตมีเจ้าของที่ระบุชื่อ

การจัดวางที่ซับซ้อนกว่าซึ่งไม่มีใครดูแลนั้นแย่กว่าการจัดวางเรียบง่ายที่ถูกตรวจสอบจริง

ทดสอบการปฏิเสธก่อน แล้วจึงทดสอบบริการ

ใช้การตรวจสอบที่ได้รับอนุมัติในบริบทจริงของผู้ปฏิบัติงานเพื่อยืนยันว่าไม่สามารถแก้นโยบาย VPN อ่านความลับที่ไม่จำเป็น หรือแตะอินเทอร์เฟซการจัดการ การอ่านที่สำเร็จในฐานะผู้ดูแลระบบไม่ได้ทดสอบอะไรเกี่ยวกับการปฏิเสธนั้น จากนั้นตรวจสอบเว็บไซต์ การดำเนินการ VPN ปกติที่ได้รับอนุญาต และสิ่งที่เกิดขึ้นกับแต่ละอย่างเมื่อรีสตาร์ต รักษาเส้นทางการกู้คืนที่ไม่ขึ้นกับการซ่อม VPN เพื่อให้ข้อผิดพลาดยังกู้คืนได้

ทั้งสองบทบาทยังคงใช้ CPU หน่วยความจำ ความจุอัปลิงก์ และเหตุการณ์บำรุงรักษาร่วมกัน ทรัพยากรที่ใช้ร่วมกันเหล่านั้นอยู่ในแผนแม้ขอบเขตอำนาจจะสะอาด

บันทึกว่าแต่ละโพรเซสทำอะไรได้ อะไรล้มเหลวหากหยุด และขอบเขตใดยังใช้ร่วมกัน จำนวนพอร์ตไม่ใช่บันทึกนั้น