Порт VPN позначено бенчмарком? Перевірте область дії контролю

Ваш сканер позначає порт VPN, тікет переформулює це як публічний слухач, і наступна суперечка йде про те, чи реальна експозиція. Знахідка рідко каже те, що припускає читач. Вона цитує контроль бенчмарку з фіксованою областю, і номер порту — лише один вхід у цю область.

Прочитайте контроль, перш ніж захищати порт. Знахідка, що читається як вирок, зазвичай є предикатом, застосованим до одного ресурсу.

Що насправді цитує рядок знахідки

Кожна знахідка бенчмарку несе чотири речі, які варто розділяти: документ і ревізію, звідки вона взята, ресурс, який оцінювався, предикат, що запустив результат, і покриття, якого аудит справді досяг. Команди зазвичай цитують лише ресурс — групу безпеки, мережевий ACL або хост — а потім сперечаються про порт. Саме предикат вирішує, чи ваш слухач узагалі був в області. Без нього ви обговорюєте число замість правила.

Документація Amazon Security Hub зберігає це розділення видимим без PDF за платною стіною:сторінка контролів EC2 перелічує перевірки груп безпеки щодо необмеженого доступу на портах 22 і 3389 і розглядає мережеві ACL як інший ресурс із власними умовами. Ті самі адміністративні порти, інший об'єкт, інший тест. Саме таку деталізацію успадковує знахідка.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Відокремте публічний слухач від адміністративного доступу

Слухач VPN, що приймає UDP 1194 з інтернету, і служба SSH, доступна лише після допуску, — різні шляхи експозиції. Перевірка, що охоплює перший, може нічого не казати про другий, а перевірка другого може ігнорувати перший. Успішний результат на одному не є твердженням про інший, хоч би як подібно вони звучали на статусній зустрічі.

Вважайте кожен шлях окремим рядком в огляді.

Потім перевірте, що дозволяє сам шлюз. Прийняти тунель — не те саме, що надати адміністративні права на шлюзі, і жодне з цього не дорівнює досяжності сервера за ним. Поділіть питання на те, хто може підключатися, хто може адмініструвати і чого тунель може досягти. Ці три відповіді приходять із різних систем і зазвичай зливаються в одне речення, за яким ніхто не може діяти.

Саме ресурс вирішує, чи входить порт узагалі в область

Правило групи безпеки, запис ACL підмережі та правило хост-фаєрвола можуть дозволяти трафік, але лише одне з них може бути об'єктом, який оцінює контроль. Ефективний дозвіл означає об'єднання паралельних груп, обох родин адрес і будь-якого правила заборони перед ними. Порт, що провалив перевірку на рівні групи, усе ще може бути недосяжним, а порт, що її пройшов, усе ще може бути заблокований глибше.

Ось де перенесення правил іншого середовища йде не так. Мережеві ACL не зберігають стану і оцінюються за порядком; групи безпеки зберігають стан і лише дозволяють. Модель правил, запозичена в однієї, не описує іншу, і її переклад дає впевнену відповідь про неправильний об'єкт.

Зафіксуйте рішення, щоб наступний аудит його використав

Коли область справді неоднозначна, запишіть ревізію контролю, ідентифікатор ресурсу, процитований предикат і доказ, який це вирішив. Додайте, що ви виключили і чому. Саме цей запис дозволяє другому рецензенту дійти того самого висновку, не перечитуючи весь бенчмарк, і він — єдине, що переживає зміну персоналу.

Нотатка «порт VPN перевірено» гарантує, що суперечка повернеться наступного кварталу. Натомість назвіть оцінювача, ревізію та доказ.