Перевірила правила фаєрвола за позицією

Ситуація. Вивід стану брандмауера показує набір правил. Фільтр пакетів перебирає впорядкований список і зупиняється на першому збігу. Це різні речі, і різниці не видно в жодному інструменті, який виводить підсумок, — саме тому хост цілий рік працював з обмеженням частоти, до якого не дійшов жоден пакет: воно стояло нижче ширшого правила, яке спрацьовувало першим.

Завдання. Перевірка брандмауера мала враховувати позицію правила, а не саму його наявність у наборі, бо вже з’ясувалося, що наявність нічого не доводить.

Дія. Тепер перевірки читають нумерований перелік правил і живий ланцюжок фільтра та звіряють саме порядок. На кожен порт — рівно одне правило, і завжди із зазначеним протоколом, бо правило без протоколу непомітно розширює поверхню атаки. На порту SSH стоїть обмеження частоти, і ніколи — дозвіл поруч із ним, бо дозвіл над обмеженням — це саме те затінення, яке й виявили. Оголошена публічна поверхня — це короткий перелік із п’яти портів, який звіряють цілком, а не порт за портом, тож порт, що з’явився без оголошення, провалює перевірку, а не чекає, поки його хтось помітить. Звіт з безпеки виводить правила в порядку зіставлення, а на початку розділу стоїть попередження, яке пояснює, як цей перелік читати, бо інакше наступна людина, що відкриє файл, прочитає його як набір.

Результат. Тепер стан брандмауера перевіряють так, як його бачить пакет. Найкориснішим підсумком стала не сама перевірка, а те, що вона показала про звітність, яка була до неї: кожен причетний інструмент цілий рік виводив обмеження частоти — і виводив правильно, — але жодному з них не поставили єдиного питання, яке мало значення.