Sprawdź granicę

Po incydencie sprawdź, czy nowa usługa jest dostępna dla większej liczby osób, niż jest to konieczne. Przed zmianą dostępu sprawdź zatwierdzony cel biznesowy.

Sprawdź usługi i zaporę sieciową serwera ćwiczeniowego:

seclab machine demo-shop

Znajdź te wiersze:

demo-shop: demo-shop, owner maya, zone servers
services:
service  port  version  status      open from
admin    22    1        up to date  internet, office, servers, retail, payments, storage
https    443   1        up to date  internet, office, servers, retail, payments, storage

Załóżmy, że zatwierdzona polityka zezwala klientom z internetu na korzystanie z HTTPS, a pracownikom biura na korzystanie z administracji. Zablokuj wyłącznie dostęp z internetu do administracji:

seclab firewall demo-shop deny 22 internet at 1

Powinien pojawić się komunikat:

Added rule 1 on demo-shop: deny 22 from internet. Rules are checked top down.

Ponownie sprawdź usługi:

seclab machine demo-shop

Znajdź te wiersze:

services:
service  port  version  status      open from
admin    22    1        up to date  office, servers, retail, payments, storage
https    443   1        up to date  internet, office, servers, retail, payments, storage

Internet nie jest już wymieniony jako źródło dostępu do usługi administracyjnej, a HTTPS pozostaje dostępny. Dobrze wyznaczona granica chroni usługę prywatną, nie uniemożliwiając usłudze publicznej wykonywania jej zadań.