Fant og rettet tre SSH‑vern mot brute force som aldri hadde virket: en jail for utestenging som overvåket port 22 mens daemonen lyttet på 1986, en hastighetsgrense skygget av en bredere regel over den, og en utestengingshandling der binærfilen aldri ble funnet, slik at ingen utestenging noen gang hadde trådt i kraft.

Situasjon. En herdingsgjennomgang av produksjonsverten i august 2026 stilte et spørsmål som vanligvis får et selvsikkert svar: virker beskyttelsene mot brute force‑angrep på SSH. Alle tre var konfigurert, alle tre dukket opp i hver rapport noen så på, og alle tre hadde vært virkningsløse siden dagen verten ble bygget.

Oppgave. Kontrollene måtte sjekkes mot det kjernen faktisk gjør med en pakke, i stedet for mot konfigurasjonsfilene som beskriver hva som burde skje med den.

Handling. Å lese konfigurasjonen ville ha bekreftet feil svar tre ganger, så gjennomgangen leste det kjørende systemet i stedet. Jailen for utestenging av inntrengere overvåket port 22, mens daemonen var flyttet til 1986 under den første herdingen — hver utestenging den skrev, gjaldt en port ingenting lyttet på. Brannmurens ratebegrensning var verre på en mer subtil måte: regelen fantes, og den lå under en bredere regel som slo til først. Brukerregler i brannmuren evalueres ovenfra og ned, og første treff vinner, så en bred tillatelse over en ratebegrensning gjør begrensningen til død kode som fortsatt skrives ut i hver statusoversikt. Den tredje var den stilleste av dem: utestengingshandlingen starter via skallet et pakkefilterprogram som pakkesystemet bare anbefaler i stedet for å kreve, så på en vert uten det starter jailen, teller og avgjør, og feiler så i det ene øyeblikket den prøver å stenge ute. Alle tre rettelsene var små. Det som kom ut av det, var ikke rettelsen, men to regler som nå styrer repoet: en sikkerhetskontroll får en påstand i stedet for en kommentar, og en brannmur verifiseres ut fra regelens plassering i stedet for ut fra at regelen finnes.

Resultat. Tre beskyttelser som ikke én gang hadde slått til, gjør det nå, og den klassen feil de tilhører — en kontroll der feilmodusen er at den fortsetter å melde at alt er i orden — er den klassen plattformens sjekker nå er bygget for å fange. Alle tre hadde vært virkningsløse fra første oppsett. Alle tre ble vist som friske overalt der noen så, og det er hele grunnen til at de varte.