Tường lửa giữa các cổng không phải ranh giới máy chủ

Trang web trả lời trên 443, VPN trả lời trên 1194, tường lửa chỉ cho phép đúng hai cổng đó, và bản đánh giá được thông qua. Không có gì trong trình tự đó hỏi nhân viên web có thể đọc gì hoặc ghi đè tệp nào. Một nhân viên bị xâm phạm không cần cổng mở nếu nó chạm được tới ổ cắm điều khiển hoặc thư mục cấu hình có thể ghi. Ranh giới là thẩm quyền, và các trình lắng nghe chỉ là phần dễ thấy.

Tên dịch vụ riêng là nhãn; danh tính riêng là thuộc tính bảo mật.

Đếm thẩm quyền của nhân viên, không đếm cổng

Bắt đầu với người dùng thời gian chạy, các nhóm, năng lực và góc nhìn hệ thống tệp của nó. Một tài khoản dịch vụ tình cờ thuộc nhóm VPN có thể đọc tài liệu khóa mà không cần cổng nào mở. Các điểm gắn có thể ghi là nửa còn lại: tệp tải lên và bộ nhớ đệm phải nằm xa tệp chính sách và bí mật, và một thư mục ghi được chia sẻ không cần thiết phá hỏng cách đặt tên gọn gàng. Hãy kiểm tra tiến trình sẽ thực hiện thao tác, vì tiến trình cha có đặc quyền và nhân viên không có đặc quyền không chia sẻ một thẩm quyền.

Việc khóa VPN đọc được khi daemon khởi động không có nghĩa là nhân viên web cần nó. Tách việc đọc do daemon thực hiện khỏi quyền truy cập cấp cho ứng dụng.

Ổ cắm trao nhiều hơn vẻ ngoài

Một số điểm cuối là API quản trị khoác áo nguồn số liệu. Giao diện quản lý của VPN có thể đổi phiên, ngắt kết nối máy khách và đọc trạng thái. Ổ cắm môi trường chạy container còn rộng hơn: truy cập vào nó thực chất là điều khiển máy chủ, vượt xa nhu cầu của một ứng dụng web. Cả hai đều không thuộc bộ gắn của một ứng dụng thông thường, và cả hai đều không xuất hiện khi bạn đếm các cổng đang lắng nghe.

Gắn trình lắng nghe quản trị vào một địa chỉ cục bộ là khởi đầu, không phải hạn chế hoàn toàn, vì mọi đường vào địa chỉ đó vẫn quan trọng. Chỉ cho phép các nguồn và giao diện dự kiến.

Container chia sẻ một nhân hệ điều hành

Container thêm ranh giới tiến trình, hệ thống tệp và mạng, và chúng chia sẻ một nhân với máy chủ. Điều đó khiến việc chọn năng lực, gắn máy chủ và truy cập daemon trở nên quyết định: gắn bí mật của máy chủ hoặc cấp quyền điều khiển thời gian chạy đặc quyền sẽ xóa bỏ ranh giới mà nhãn container gợi ý. Các VM riêng thực sự cho nhân khách riêng, trong khi hypervisor, danh tính quản trị, lưu trữ và sao lưu vẫn được chia sẻ. Hãy chọn ranh giới mà cấu hình và bản cập nhật của nó có chủ sở hữu được nêu tên.

Một cách bố trí phức tạp hơn mà không ai bảo trì còn tệ hơn một cách đơn giản thực sự được xem xét.

Kiểm tra sự từ chối trước, rồi đến dịch vụ

Dùng các kiểm tra đã được phê duyệt trong ngữ cảnh thực của nhân viên để xác nhận nó không thể sửa chính sách VPN, đọc bí mật không cần thiết hoặc chạm vào giao diện quản lý. Việc đọc thành công với tư cách quản trị viên không kiểm chứng gì về sự từ chối đó. Sau đó xác minh trang web, một thao tác VPN thông thường được phép, và điều gì xảy ra với mỗi thứ khi khởi động lại. Giữ một đường phục hồi không phụ thuộc vào việc sửa VPN, để sai sót vẫn có thể khắc phục.

Cả hai vai trò vẫn chia sẻ CPU, bộ nhớ, dung lượng đường lên và các sự kiện bảo trì. Những tài nguyên chia sẻ đó thuộc kế hoạch ngay cả khi ranh giới thẩm quyền trong sạch.

Ghi lại mỗi tiến trình có thể làm gì, điều gì hỏng nếu nó dừng, và ranh giới nào vẫn được chia sẻ. Số lượng cổng không phải bản ghi đó.