พอร์ต VPN ถูกตั้งธงโดยเกณฑ์มาตรฐาน? ตรวจสอบขอบเขตของการควบคุม

สแกนเนอร์ของคุณตั้งธงที่พอร์ต VPN ตั๋วงานถอดความว่าเป็นตัวรับฟังสาธารณะ และการโต้แย้งที่ตามมาคือการเปิดเผยนั้นจริงหรือไม่ ผลการตรวจไม่ค่อยบอกสิ่งที่ผู้อ่านคิดไว้ มันอ้างถึงการควบคุมของเกณฑ์มาตรฐานที่มีขอบเขตคงที่ และหมายเลขพอร์ตเป็นเพียงข้อมูลนำเข้าหนึ่งรายการในขอบเขตนั้น

อ่านการควบคุมก่อนจะปกป้องพอร์ต ผลการตรวจที่อ่านเหมือนคำตัดสินมักเป็นภาคแสดงที่ใช้กับแหล่งข้อมูลเดียว

แถวผลการตรวจอ้างถึงอะไรจริง ๆ

ผลการตรวจของเกณฑ์มาตรฐานแต่ละรายการมีสี่สิ่งที่ควรแยกออกจากกัน คือ เอกสารและฉบับแก้ไขที่มันมาจาก แหล่งข้อมูลที่ถูกประเมิน ภาคแสดงที่ทำให้เกิดผล และความครอบคลุมที่การตรวจสอบทำได้จริง ทีมมักอ้างถึงเฉพาะแหล่งข้อมูล เช่น กลุ่มความปลอดภัยหรือ ACL ของเครือข่ายหรือโฮสต์ แล้วจึงโต้แย้งเรื่องพอร์ตภาคแสดงคือสิ่งที่ตัดสินว่าตัวรับฟังของคุณอยู่ในขอบเขตหรือไม่ ถ้าไม่มีมัน คุณกำลังโต้แย้งเรื่องตัวเลขแทนที่จะเป็นกฎ

เอกสารของ Amazon Security Hub รักษาการแยกนั้นให้มองเห็นได้โดยไม่ต้องมี PDF หลังกำแพงจ่ายเงิน:หน้าควบคุม EC2แสดงรายการตรวจสอบของกลุ่มความปลอดภัยสำหรับการเข้าถึงแบบไม่จำกัดบนพอร์ต 22 และ 3389 และถือว่า ACL ของเครือข่ายเป็นแหล่งข้อมูลอีกประเภทหนึ่งที่มีเงื่อนไขของตัวเอง พอร์ตบริหารเดียวกัน วัตถุต่างกัน การทดสอบต่างกัน นี่คือความละเอียดที่ผลการตรวจสืบทอดมา

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

แยกตัวรับฟังสาธารณะออกจากการเข้าถึงเชิงบริหาร

ตัวรับฟัง VPN ที่รับ UDP 1194 จากอินเทอร์เน็ตกับบริการ SSH ที่เข้าถึงได้หลังการอนุมัติเท่านั้นเป็นเส้นทางการเปิดเผยที่ต่างกัน การตรวจสอบที่ครอบคลุมอย่างแรกอาจไม่พูดอะไรเกี่ยวกับอย่างที่สอง และการตรวจสอบที่ครอบคลุมอย่างที่สองอาจเพิกเฉยต่ออย่างแรก ผลที่ผ่านในด้านหนึ่งไม่ใช่คำกล่าวเกี่ยวกับอีกด้าน แม้ทั้งสองจะฟังดูคล้ายกันในการประชุมสถานะ

ปฏิบัติต่อแต่ละเส้นทางเป็นแถวของตัวเองในการทบทวน

จากนั้นตรวจสอบว่าตัวเกตเวย์เองอนุญาตอะไร การรับทันเนลไม่เหมือนกับการให้สิทธิ์บริหารบนเกตเวย์ และทั้งสองอย่างไม่เท่ากับการเข้าถึงเซิร์ฟเวอร์ที่อยู่ข้างหลัง แบ่งคำถามเป็นใครเชื่อมต่อได้ ใครบริหารได้ และทันเนลเข้าถึงอะไรได้ คำตอบทั้งสามมาจากระบบที่ต่างกันและมักถูกรวมเป็นประโยคเดียวที่ไม่มีใครลงมือทำได้

แหล่งข้อมูลเป็นตัวตัดสินว่าพอร์ตอยู่ในขอบเขตหรือไม่

กฎของกลุ่มความปลอดภัย รายการ ACL ของซับเน็ต และกฎไฟร์วอลล์ของโฮสต์ต่างอนุญาตทราฟฟิกได้ แต่มีเพียงหนึ่งเดียวเท่านั้นที่อาจเป็นวัตถุที่การควบคุมประเมิน การอนุญาตที่มีผลหมายถึงการรวมกลุ่มที่ขนานกัน ทั้งสองตระกูลที่อยู่ และกฎปฏิเสธใด ๆ ที่อยู่ข้างหน้า พอร์ตที่ตกการตรวจระดับกลุ่มอาจยังเข้าถึงไม่ได้ และพอร์ตที่ผ่านอาจยังถูกบล็อกลึกกว่า

นี่คือจุดที่การย้ายกฎของสภาพแวดล้อมอื่นผิดพลาด ACL ของเครือข่ายไม่มีสถานะและถูกประเมินตามลำดับ กลุ่มความปลอดภัยมีสถานะและอนุญาตเท่านั้น แบบจำลองกฎที่ยืมมาจากฝั่งหนึ่งไม่อธิบายอีกฝั่ง และการแปลมันให้คำตอบที่มั่นใจเกี่ยวกับวัตถุผิด

บันทึกการตัดสินใจไว้เพื่อให้การตรวจครั้งต่อไปใช้ซ้ำ

เมื่อขอบเขตกำกวมจริง ๆ ให้เขียนฉบับแก้ไขของการควบคุม ตัวระบุแหล่งข้อมูล ภาคแสดงตามที่อ้าง และหลักฐานที่แก้ข้อสงสัยนั้น รวมถึงสิ่งที่คุณตัดออกและเหตุผล บันทึกนั้นคือสิ่งที่ทำให้ผู้ทบทวนคนที่สองได้ข้อสรุปเดียวกันโดยไม่ต้องอ่านเกณฑ์มาตรฐานทั้งหมดใหม่ และเป็นสิ่งเดียวที่อยู่รอดจากการเปลี่ยนพนักงาน

บันทึกที่เขียนว่า «ตรวจสอบพอร์ต VPN แล้ว» รับประกันว่าการโต้แย้งจะกลับมาในไตรมาสหน้า จงระบุชื่อผู้ประเมิน ฉบับแก้ไข และหลักฐานแทน