Administrace komentářů

Takže uznáváte, že to brání zneužít takovou díru?

Pokud někdo má možnost zneužít takovou díru, neřekl bych, že tomu něco brání.

Nemůže být náhodou povolena, musela by být explicitně povolena. Náhodně povolena může být jen u policy ACCEPT.

Názorná ukázka mého tvrzení, že tahle "opatření" pouze vyvolávají ve správci falešný pocit bezpečí. Samozřejmě, že může být náhodou povolena. Například tak, že příslušná komunikace vyhoví jinému pravidlu s cílem ACCEPT. Nebo tak, že útočník komunikuje s cílovým serverem jinak, než přes tenhle firewall.

To, že jsem udělal chybu, si všimnu snadno, protože mi uživatelé nahlásí, že služba nefunguje.

To, že jste udělal chybu, se vůbec nemusí projevit tak, že nějaká služba nefunguje.

To, že jste udělal chybu vy, si všimnete těžko, protože služba funguje přesně podle očekávání.

Je síť nekonfiguruju tak, že bych něco náhodně nastavoval tak dlouho, dokud nějaká služba nezačne fungovat. Existují mnohem lepší metody. Třeba mít seznam služeb a nakonfigurovat síť přesně pro tyhle služby. Nebo monitorování provozu.

A jedna z těch úrovní (a to poměrně zásadní) je ta, že všechno, co není explicitně povoleno, je zakázáno.

Je to jedna z možností. Ale není zásadní, a pokud ji někdo používá špatně, způsobuje víc problémů než užitku - za prvé vytváří ve správci sítě falešný pocit bezpečí, za druhé skrývá chyby v konfiguraci. Konkrétní příklady jste tu už popsal.

Aha, tak to o vaší znalosti bezpečnosti hodně vypovídá. Nikdy si nemůžete být jist, to, že jste odhalil jen jeden problém, neznamená, že jich tam není dalších sto, o kterých nevíte.

Stoprocentně jist si opravdu nemůžu být nikdy. Ale když tu síť znám, monitoruju její provoz, a vše bez problémů několik let funguje, můžu si být docela jist, že se tam nikdo neoprávněně nedostal. Samozřejmě, že by se tam nějaké problémy daly najít, jako všude - je to jen otázka motivace. Já jsem se ale snažil případným problémům předcházet, nebo abych se o těch problémech alespoň co nejdřív dozvěděl. Nespoléhal jsem na to, že všechny problémy odstraní všemocná politika DROP.