Проверьте границу

После инцидента проверьте, доступна ли новая служба большему числу людей, чем необходимо. Перед изменением доступа сверьтесь с утверждённой бизнес-целью.

Проверьте службы и брандмауэр учебного сервера:

seclab machine demo-shop

Найдите следующие строки:

demo-shop: demo-shop, owner maya, zone servers
services:
service  port  version  status      open from
admin    22    1        up to date  internet, office, servers, retail, payments, storage
https    443   1        up to date  internet, office, servers, retail, payments, storage

Предположим, утверждённая политика разрешает клиентам из интернета пользоваться HTTPS, а сотрудникам офиса — административным доступом. Заблокируйте только доступ из интернета к административному доступу:

seclab firewall demo-shop deny 22 internet at 1

Вы должны увидеть:

Added rule 1 on demo-shop: deny 22 from internet. Rules are checked top down.

Снова проверьте службы:

seclab machine demo-shop

Найдите следующие строки:

services:
service  port  version  status      open from
admin    22    1        up to date  office, servers, retail, payments, storage
https    443   1        up to date  internet, office, servers, retail, payments, storage

Интернет больше не указан в списке источников доступа к административной службе, а HTTPS по-прежнему доступен. Грамотно установленная граница защищает частную службу, не мешая публичной выполнять свою задачу.