Hindi pinatutunayan ng pribadong port ang software sa likod nito

Ito ay makatwirang likas na damdamin: kung ang VPN lamang ang nakakaabot sa tagapakinig ng SSH, maliit ang pagkakalantad at nalutas na ang problema. Gayunman, ang pagkakalantad ay hindi katumbas ng integridad. Ang unang kalahati ay totoo at ang pangalawa ay hindi sumusunod. Kinokontrol ng pagiging maabot kung sino ang maaaring subukan ang koneksyon; kinokontrol ng integridad ng software ang gagawin ng tagapakinig kapag nakatanggap ito ng isa. Ang isang tarangkahan ay nagpapaliit ng madla at walang sinasabi tungkol sa code sa likod nito.

Ang pribadong port ay isang mas maliit na pinto, hindi ibang kandado, at ang pagkakaibang iyon ang nagtatakda kung ano ang susunod mong titingnan.

Dalawang kontrol, dalawang tanong

Binabawasan ng paghihigpit sa network ang pagkakalantad. Hinahayaan nito ang mga pinapayagang user, at anumang naikompromisong aprubadong kliyente, na maabot ang apektadong serbisyo. Ang pagwawasto ng pakete ay nagpapanumbalik ng software, at hindi rin nito pinapaliit ang isang masyadong malawak na pahintulot sa network. Ginagawa ng bawat kontrol ang sarili nitong trabaho, at bawat isa ay maaaring tama habang nawawala ang isa. Ang pagsusuri sa kanila nang magkasama ay ang paraan ng isang koponan na kumbinsihin ang sarili na ang isa ay sumasakop sa dalawa, at iyon ang tiyak na pagkakamaling tinatalakay ng pirasong ito.

Ang endpoint ng VPN ay software din, at mayroon itong parehong obligasyon. Ang pagdaragdag nito sa landas ay nagdadala ng sarili nitong obligasyon sa pagpapanatili, at hindi nito inaalis ang responsibilidad ng supply chain para sa anumang nasa likod nito.

Ano ang tunay na ipinakita ng pagsisiwalat ng XZ

Inilarawan ng pagsisiwalat ng XZ/liblzma noong Marso 2024 ang isang backdoor na maaaring humantong sa pagkakompromiso ng isang SSH server sa ilalim ng mga kondisyong apektado. Ito ay problema sa integridad ng software tulad ng problema sa pagkakalantad, at hindi ito patunay na ang bawat instalasyon ng Linux ay may dalang mahinang build. Ang saklaw ay nagmumula sa mga apektadong bersyon at sa mga distribusyon na nagpadala sa kanila, hindi sa pangalan ng pamilya ng operating system.

Ang pagkakaibang iyon ay ang pagkakaiba ng pagtugon sa insidente at alingawngaw, at sulit na maging mapanghimasok tungkol dito.

Ang pagsasara ng port ay hindi pagbawi

Kung ang pagkakompromiso ay maaaring nangyari na, ang pagbabago ng pagiging maabot ay hindi pagbawi. Ang backdoor na naisakatuparan ay mayroon nang pagkakataon; ang tuntunin ng firewall ay hindi naglalakbay pabalik sa oras. Sundin ang aprubadong proseso ng insidente para sa host at sa anumang nailantad na kredensyal, at ingatan ang ebidensiyang kailangan upang matiyak kung ano ang tunay na naisakatuparan. Ang muling pagbuo mula sa kilalang mahusay na media ay karaniwang bahagi ng usaping iyon.

Gamitin din ang kasalukuyang beripikadong abiso at proseso ng pagwawasto ng distribusyon, at basahin ang listahan ng mga apektadong bersyon sa halip na ang headline. Ang pagkopya ng makasaysayang utos ng downgrade sa isang walang kaugnayang kapaligiran ay kung paano nagiging bagong pagkakalantad ang isang pagwawasto.

Suriin ang pareho, nang hiwalay

Itanong ang dalawang tanong sa kanilang sariling mga tuntunin. Sino ang maaaring makaabot sa tagapakinig, at ang madlang ito ba ay eksaktong madlang para sa serbisyo? Aling bersyon ng software ang naka-install, sino ang pumirma sa artefakto, at paano nalalaman ng organisasyon ang masamang release bago ito mabasa sa balita? Ang mga sagot ay nabibilang sa iba't ibang dokumento na may iba't ibang may-ari, at walang may-ari ang makasasagot para sa isa.

Para sa isang pinamamahalaang fleet, ang imbentaryo ng software ang kontrol na nagpapangyaring masagot ang ikalawang tanong. Kung wala ito, ang bawat pagsisiwalat ay nagiging proyekto ng arkeolohiya na may takdang panahon.

Ang tarangkahan ay nagpapaliit ng madla. Ang integridad ang nagtatakda kung mahalaga ang madla.