VPN Portu Bir Benchmark Tarafından İşaretlendi mi? Kontrolün Kapsamını İnceleyin

Tarayıcınız VPN portunu işaretler, bilet bunu genel bir dinleyici olarak yeniden ifade eder ve ardından gelen tartışma maruz kalmanın gerçek olup olmadığıyla ilgilidir. Bulgu, okuyucunun varsaydığını nadiren söyler. Sabit kapsamlı bir benchmark denetimini alıntılar ve port numarası o kapsama giren yalnızca bir girdidir.

Portu savunmadan önce denetimi okuyun. Karar gibi okunan bir bulgu genellikle tek bir kaynağa uygulanmış bir yüklemdir.

Bulgu satırı gerçekte neyi alıntılar

Her benchmark bulgusu ayırmaya değer dört şey taşır: geldiği belge ve revizyon, değerlendirilen kaynak, sonucu tetikleyen yüklem ve denetimin gerçekte ulaştığı kapsam. Ekipler genellikle yalnızca kaynağı alıntılar — bir güvenlik grubu, bir ağ ACL'si veya bir sunucu — ve sonra port hakkında tartışır. Dinleyicinizin baştan kapsamda olup olmadığına yüklem karar verir. O olmadan bir kural yerine bir sayı tartışırsınız.

Amazon Security Hub belgeleri bu ayrımı ödeme duvarı arkasında PDF olmadan görünür tutar:EC2 denetimleri sayfası22 ve 3389 portlarında sınırsız erişim için güvenlik grubu kontrollerini listeler ve ağ ACL'lerini kendi koşulları olan farklı bir kaynak olarak ele alır. Aynı yönetim portları, farklı nesne, farklı test. Bir bulgunun devraldığı ayrıntı düzeyi budur.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Genel Dinleyiciyi Yönetimsel Erişimden Ayırın

İnternetten UDP 1194 kabul eden bir VPN dinleyicisi ile ancak kabulden sonra erişilebilen bir SSH hizmeti farklı maruz kalma yollarıdır. İlkini kapsayan kontrol ikincisi hakkında hiçbir şey söylemeyebilir ve ikincisini kapsayan kontrol ilkini yok sayabilir. Birinde geçen sonuç diğeri hakkında bir ifade değildir, ikisi bir durum toplantısında ne kadar benzer görünse de.

Her yolu incelemede kendi satırı olarak ele alın.

Ardından ağ geçidinin kendisinin neye izin verdiğini doğrulayın. Bir tüneli kabul etmek, ağ geçidinde yönetimsel haklar vermekle aynı şey değildir ve ikisi de arkasındaki bir sunucuya ulaşmakla eşdeğer değildir. Soruyu kimin bağlanabileceği, kimin yönetebileceği ve tünelin neye ulaşabileceği olarak bölün. Bu üç cevap farklı sistemlerden gelir ve rutin olarak kimsenin üzerinde işlem yapamayacağı tek bir cümlede birleştirilir.

Portun kapsamda olup olmadığına kaynak karar verir

Bir güvenlik grubu kuralı, bir alt ağ ACL girdisi ve bir sunucu güvenlik duvarı kuralı trafiğe izin verebilir, ancak yalnızca biri denetimin değerlendirdiği nesne olabilir. Etkin izin, paralel grupları, her iki adres ailesini ve önlerindeki herhangi bir ret kuralını birleştirmek anlamına gelir. Grup düzeyi bir kontrolde başarısız olan bir port hâlâ ulaşılamaz olabilir ve onu geçen bir port daha içeride hâlâ engellenmiş olabilir.

Başka bir ortamın kurallarını taşımak burada ters gider. Ağ ACL'leri durumsuzdur ve sırayla değerlendirilir; güvenlik grupları durumludur ve yalnızca izin verir. Birinden ödünç alınan kural modeli diğerini tanımlamaz ve onu çevirmek yanlış nesne hakkında kendinden emin bir cevap üretir.

Sonraki denetimin yeniden kullanması için kararı kaydedin

Kapsam gerçekten belirsiz olduğunda kontrol revizyonunu, kaynak tanımlayıcısını, alıntılanan yüklemi ve bunu çözen kanıtı yazın. Neyi dışladığınızı ve nedenini ekleyin. İşte bu kayıt, ikinci bir gözden geçirenin tüm benchmark'ı yeniden okumadan aynı sonuca ulaşmasını sağlar ve personel değişiminden sağ çıkan tek şeydir.

«VPN portu incelendi» yazan bir not, tartışmanın gelecek çeyrekte geri döneceğini garanti eder. Bunun yerine değerlendiriciyi, revizyonu ve kanıtı adlandırın.