Port ng VPN na Minarkahan ng Benchmark? Suriin ang Saklaw ng Kontrol

Minarkahan ng iyong scanner ang port ng VPN, binibigyang-kahulugan ito ng ticket bilang pampublikong listener, at ang sumusunod na debate ay tungkol sa kung totoo ang pagkakalantad. Bihirang sabihin ng natuklasan ang inaakala ng mambabasa. Sumisipi ito ng kontrol ng benchmark na may nakapirming saklaw, at ang numero ng port ay isa lamang input sa saklaw na iyon.

Basahin ang kontrol bago ipagtanggol ang port. Ang natuklasang binabasa na parang hatol ay karaniwang isang predicate na inilapat sa isang resource.

Ano ang aktuwal na sinisipi ng hilera ng natuklasan

Ang bawat natuklasan ng benchmark ay nagdadala ng apat na bagay na sulit ihiwalay: ang dokumento at rebisyon kung saan ito nagmula, ang resource na sinuri, ang predicate na nagdulot ng resulta, at ang saklaw na aktuwal na naabot ng audit. Karaniwang sinisipi lamang ng mga koponan ang resource — isang security group o isang network ACL o isang host — at pagkatapos ay pinagtatalunan ang port. Ang predicate ang nagpapasya kung ang iyong listener ay nasa saklaw man lang. Kung wala ito, pinagtatalunan mo ang isang numero sa halip na isang tuntunin.

Pinapanatiling nakikita ng dokumentasyon ng Amazon Security Hub ang paghihiwalay na iyon nang walang PDF sa likod ng paywall:ang pahina ng mga kontrol ng EC2 ay naglilista ng mga pagsusuri ng security group para sa walang restriksiyon na pag-access sa mga port 22 at 3389, at tinatrato ang mga network ACL bilang ibang resource na may sariling mga kondisyon. Parehong administrative port, ibang object, ibang test. Iyon ang granularidad na minamana ng isang natuklasan.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Ihiwalay ang Pampublikong Listener sa Administratibong Pag-access

Ang listener ng VPN na tumatanggap ng UDP 1194 mula sa internet at ang serbisyong SSH na maaabot lamang pagkatapos ng pagtanggap ay magkaibang mga landas ng pagkakalantad. Ang pagsusuring sumasaklaw sa una ay maaaring walang sabihin tungkol sa pangalawa, at ang pagsusuring sumasaklaw sa pangalawa ay maaaring balewalain ang una. Ang pumasa na resulta sa isa ay hindi pahayag tungkol sa isa pa, gaano man magkatulad ang dalawa sa isang pulong ng status.

Ituring ang bawat landas bilang sariling hilera sa pagsusuri.

Pagkatapos, i-verify kung ano ang pinapayagan ng gateway mismo. Ang pagtanggap ng tunnel ay hindi pareho sa pagbibigay ng administratibong karapatan sa gateway, at wala sa dalawa ang katumbas ng pag-abot sa isang server sa likod nito. Hatiin ang tanong sa kung sino ang makakonekta, sino ang makakapamahala, at ano ang maaabot ng tunnel. Ang tatlong sagot ay nagmumula sa magkaibang sistema at karaniwang pinagsasama sa isang pangungusap na walang makakagawang aksyon.

Ang Resource ang Nagpapasya Kung Nasa Saklaw ang Port

Ang tuntunin ng security group, entry ng subnet ACL at tuntunin ng host firewall ay maaaring lahat magpayag ng trapiko, ngunit isa lamang sa kanila ang maaaring object na sinusuri ng kontrol. Ang epektibong pahintulot ay nangangahulugan ng pagsasama ng magkatulad na grupo, parehong pamilya ng address, at anumang tuntunin ng pagtanggi sa harap nila. Ang port na bumagsak sa pagsusuri sa antas ng grupo ay maaaring hindi pa rin maabot, at ang port na pumasa rito ay maaaring naka-block pa rin nang mas malalim.

Dito nagkakamali ang paglipat ng mga tuntunin ng ibang kapaligiran. Ang mga network ACL ay walang estado at sinusuri ayon sa pagkakasunod-sunod; ang mga security group ay may estado at nagpapayag lamang. Ang modelong tuntunin na hiram mula sa isa ay hindi naglalarawan sa isa, at ang pagsasalin nito ay nagbubunga ng kumpiyansang sagot tungkol sa maling object.

Itala ang Desisyon Upang Magamit Ito ng Susunod na Audit

Kapag tunay na malabo ang saklaw, isulat ang rebisyon ng kontrol, identifier ng resource, predicate gaya ng sinipi at ebidensiyang nagpasiya nito. Isama ang hindi mo isinama at bakit. Ang talaang iyon ang nagpapahintulot sa ikalawang tagasuri na maabot ang parehong konklusyon nang hindi binabasa muli ang buong benchmark, at ito ang tanging bagay na nakakaligtas sa pagpalit ng kawani.

Ang talang nagsasabing «nasuri ang port ng VPN» ay nagsisiguro na babalik ang debate sa susunod na quarter. Sa halip, pangalanan ang tagasuri, ang rebisyon at ang ebidensiya.