Portlar arasındaki güvenlik duvarı bir ana makine sınırı değildir

Web sitesi 443'te yanıt veriyor, VPN 1194'te yanıt veriyor, güvenlik duvarı tam olarak bu ikisine izin veriyor ve inceleme geçiyor. Bu dizide hiçbir şey web çalışanının neyi okuyabileceğini ya da hangi dosyaları yeniden yazabileceğini sormadı. Ele geçirilmiş bir çalışan, bir denetim soketine veya yazılabilir bir yapılandırma dizinine ulaşabiliyorsa açık bir porta ihtiyaç duymaz. Sınır yetkidir ve dinleyiciler yalnızca görülmesi kolay olan kısımdır.

Ayrı bir hizmet adı bir etikettir; ayrı bir kimlik bir güvenlik özelliğidir.

Portları değil, çalışanın yetkisini sayın

Çalışma zamanı kullanıcısıyla, gruplarıyla, yetenekleriyle ve dosya sistemi görünümüyle başlayın. Bir VPN grubuna tesadüfen ait olan bir hizmet hesabı, hiçbir port açık olmadan anahtar materyalini okuyabilir. Yazılabilir bağlama noktaları diğer yarısıdır: yüklemeler ve önbellekler politika dosyalarından ve sırlardan uzak durmalıdır ve gereksiz yere paylaşılan yazılabilir bir dizin düzenli adlandırmayı boşa çıkarır. İşlemi gerçekleştirecek süreci denetleyin, çünkü ayrıcalıklı bir üst süreç ile ayrıcalıksız çalışanlar aynı yetkiyi paylaşmaz.

Bir VPN anahtarının arka plan süreci başlarken okunabilir olması, web çalışanının ona ihtiyaç duyduğu anlamına gelmez. Arka plan sürecinin yaptığı okumayı uygulamaya verilen erişimden ayırın.

Göründüğünden fazlasını veren soketler

Bazı uç noktalar metrik akışı kılığına girmiş yönetim API'leridir. VPN'in yönetim arayüzü oturumları değiştirebilir, istemcileri ayırabilir ve durumu okuyabilir. Konteyner çalışma zamanı soketi daha da geniştir: ona erişim fiilen ana makine denetimidir, bir web uygulamasının ihtiyacının çok ötesindedir. İkisi de sıradan bir uygulamanın bağlama kümesine ait değildir ve ikisi de dinleyen portları saydığınızda görünmez.

Bir yönetim dinleyicisini yerel bir adrese bağlamak bir başlangıçtır, tam bir kısıtlama değildir, çünkü o adrese giden her giriş yolu hâlâ önemlidir. Yalnızca amaçlanan kaynaklara ve arayüzlere izin verin.

Konteynerler tek bir çekirdeği paylaşır

Konteynerler süreç, dosya sistemi ve ağ sınırları ekler ve ana makineyle tek bir çekirdeği paylaşır. Bu, yetenek seçimlerini, ana makine bağlamalarını ve arka plan sürecine erişimi belirleyici kılar: ana makine sırlarını bağlamak veya ayrıcalıklı çalışma zamanı denetimi vermek, konteyner etiketinin ima ettiği sınırı siler. Ayrı VM'ler gerçekten ayrı konuk çekirdekleri verir, oysa hipervizör, yönetim kimlikleri, depolama ve yedekler paylaşılan kalır. Yapılandırması ve güncellemeleri adlandırılmış bir sahibi olan sınırı seçin.

Kimsenin bakmadığı daha ayrıntılı bir düzen, gerçekten incelenen basit bir düzenden daha kötüdür.

Önce reddi, sonra hizmeti test edin

Çalışanın gerçek bağlamında onaylanmış denetimler kullanarak VPN politikasını değiştiremediğini, gereksiz sırları okuyamadığını veya yönetim arayüzüne dokunamadığını doğrulayın. Yönetici olarak başarılı bir okuma, bu ret hakkında hiçbir şeyi test etmez. Ardından web sitesini, izin verilen sıradan bir VPN işlemini ve yeniden başlatmada her birine ne olduğunu doğrulayın. VPN'in onarılmasına bağlı olmayan bir kurtarma yolu saklayın, böylece bir hata onarılabilir kalır.

İki rol hâlâ CPU, belleği, yukarı bağlantı kapasitesini ve bakım olaylarını paylaşır. Bu paylaşılan kaynaklar, yetki sınırı temiz olsa bile plana aittir.

Her sürecin ne yapabildiğini, durduğunda neyin başarısız olduğunu ve hangi sınırın paylaşılan kaldığını kaydedin. Port sayısı o kayıt değildir.