Cổng VPN bị benchmark gắn cờ? Hãy kiểm tra phạm vi của biện pháp kiểm soát

Trình quét của bạn gắn cờ cổng VPN, phiếu yêu cầu diễn giải đó thành một trình lắng nghe công khai, và cuộc tranh luận tiếp theo là về việc liệu sự phơi lộ có thật hay không. Phát hiện hiếm khi nói điều mà người đọc giả định. Nó trích dẫn một biện pháp kiểm soát benchmark với phạm vi cố định, và số cổng chỉ là một đầu vào cho phạm vi đó.

Đọc biện pháp kiểm soát trước khi bảo vệ cổng. Một phát hiện đọc như bản án thường là một vị từ được áp dụng cho một tài nguyên.

Dòng phát hiện thực sự trích dẫn điều gì

Mỗi phát hiện benchmark mang bốn thứ đáng tách bạch: tài liệu và bản sửa đổi mà nó xuất phát, tài nguyên được đánh giá, vị từ kích hoạt kết quả và phạm vi bao phủ mà cuộc kiểm toán thực sự đạt được. Các nhóm thường chỉ trích dẫn tài nguyên — một nhóm bảo mật, một ACL mạng hoặc một máy chủ — rồi tranh luận về cổng. Chính vị từ quyết định liệu trình lắng nghe của bạn có nằm trong phạm vi hay không. Không có nó, bạn đang tranh luận về một con số thay vì một quy tắc.

Tài liệu của Amazon Security Hub giữ sự tách bạch đó hiển thị mà không cần PDF sau tường trả phí:trang kiểm soát EC2 liệt kê các kiểm tra nhóm bảo mật cho quyền truy cập không hạn chế trên cổng 22 và 3389, và coi ACL mạng là một tài nguyên khác với các điều kiện riêng. Cùng cổng quản trị, khác đối tượng, khác bài kiểm tra. Đó là mức độ chi tiết mà một phát hiện kế thừa.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Tách trình lắng nghe công khai khỏi quyền truy cập quản trị

Một trình lắng nghe VPN chấp nhận UDP 1194 từ internet và một dịch vụ SSH chỉ tiếp cận được sau khi được chấp nhận là những đường phơi lộ khác nhau. Kiểm tra bao phủ cái đầu có thể không nói gì về cái sau, và kiểm tra bao phủ cái sau có thể bỏ qua cái đầu. Kết quả đạt ở một bên không phải là tuyên bố về bên kia, dù hai bên nghe giống nhau đến đâu trong một cuộc họp trạng thái.

Coi mỗi đường là một dòng riêng trong bản đánh giá.

Sau đó xác minh cổng nối chính nó cho phép gì. Chấp nhận một đường hầm không giống như cấp quyền quản trị trên cổng nối, và không điều nào trong hai điều đó bằng việc tiếp cận một máy chủ phía sau nó. Chia câu hỏi thành ai có thể kết nối, ai có thể quản trị và đường hầm có thể tiếp cận gì. Ba câu trả lời đó đến từ các hệ thống khác nhau và thường được gộp thành một câu mà không ai có thể hành động theo.

Chính tài nguyên quyết định liệu cổng có nằm trong phạm vi hay không

Một quy tắc nhóm bảo mật, một mục ACL mạng con và một quy tắc tường lửa máy chủ đều có thể cho phép lưu lượng, nhưng chỉ một trong số chúng có thể là đối tượng mà biện pháp kiểm soát đánh giá. Cho phép hiệu quả nghĩa là kết hợp các nhóm song song, cả hai họ địa chỉ và bất kỳ quy tắc từ chối nào đứng trước chúng. Một cổng trượt kiểm tra ở cấp nhóm vẫn có thể không tiếp cận được, và một cổng vượt qua nó vẫn có thể bị chặn sâu hơn.

Đây là chỗ việc cấy ghép quy tắc từ môi trường khác đi sai. ACL mạng là không trạng thái và được đánh giá theo thứ tự; nhóm bảo mật có trạng thái và chỉ cho phép. Một mô hình quy tắc vay từ bên này không mô tả bên kia, và việc dịch nó tạo ra một câu trả lời tự tin về sai đối tượng.

Ghi lại quyết định để cuộc kiểm toán sau tái sử dụng

Khi phạm vi thực sự mơ hồ, hãy viết ra bản sửa đổi biện pháp kiểm soát, định danh tài nguyên, vị từ như được trích dẫn và bằng chứng đã giải quyết nó. Bao gồm những gì bạn loại trừ và tại sao. Chính bản ghi đó cho phép người đánh giá thứ hai đi đến cùng kết luận mà không đọc lại toàn bộ benchmark, và nó là thứ duy nhất sống sót qua biến động nhân sự.

Một ghi chú ghi «đã xem xét cổng VPN» bảo đảm cuộc tranh luận sẽ trở lại vào quý sau. Thay vào đó, hãy nêu tên người đánh giá, bản sửa đổi và bằng chứng.