Přesně tak, pletou si NAT a firewall.
NAT - samozřejmě, do jisté míry / nějak - zesložiťuje útok, ale NAT není firewall.
To byl jen jeden příklad, jak někdy mylná úvaha vede k řetězci špatných úvah na poli bezpečnosti. Diskutovaná byla otázka, jak může VPS na stroji vystrčením na internetu, ohrozit perimetr vnitřní sítě a ostatní VPS. Meritem je, že v takové konfiguraci je oslabené
oddělení, oproti fyzickému oddělení. Při fyzickém oddělení musí být další chyby v komunikačních protokolech, v jejich nastavení. Při souběhu na jednom hypervizoru se
přičítají ještě rizika plynoucí z hypervizoru - tj. chybná konfigurace, chyby hardware (spectre), backdoory (amt), a z hlediska provozu ještě rizika výpadku (případný DoS útok je vedený na mašinu, která slouží i dovnitř).
Zhodnocení těch rizik je otázka jiná. Někdy to vadí hodně (závisí na tom provoz zaměstnanců), jindy to vadí méně (hobby projekt). Bez toho, aniž by někdo vyjmenoval potenciální vektory útoků, nelze zhodnotit dopady. Bez zhodnocení dopadů nelze odpovědět na otázku, zdali je to
v mém případě možno považovat za
dostatečně bezpečné.
Takže pokud někdo položí otázku
"je to bezpečné?", je taková otázka nezodpověditelná bez doplnění očekávání. Absolutní bezpečnost neexistuje, a je-li něco relativní, tak se na to dá odpovědět jen
"vůči čemu, vůči jakým požadavkům, vůči jakému očekávání?"
49 Odpovědí
19307 Zhlédnutí