ラップトップのファイアウォール
概要
すべてのラップトップでオペレーティングシステムのファイアウォールを有効にする必要があります。
GitLab は SaaS Web アプリケーションを使用しており、ほとんどのサービスへアクセスするために VPN を使用しません（Infrastructure または Security システム管理者である場合を除きます）。
旅行中および公共ネットワークの使用時のベストプラクティスについては、ワイヤレスネットワークハンドブックページを参照してください。
構成手順
Apple macOS
Ubuntu Linux
高度なファイアウォール
セキュリティを意識するチームメンバーは、Little Snitchや LuLuなどのサードパーティ製ファイアウォールソフトウェアを購入して経費精算できます。これらにより、アプリケーションごとに送信トラフィックを監視および制御できます。
Jamf と SentinelOne が管理コンソールと通信できるようにしてください。
ネットワーク例外
チームメンバーが、ファイアウォールをバイパスする必要がある特定のシナリオをテストする必要がある場合があります。
ラップトップを公共インターネットに公開する目的で、ネットワークファイアウォールを回避するように設計されたツールを使用しないことが重要です。その例は、ローカル開発環境へのアクセス用の公開 URL を生成するために ngrokを使用することです。
私たちの中核製品は、リモートコード実行を機能として提供します。テストする他のアプリケーションも、開発環境の緩やかな性質を通じて、同様の機能を公開することがよくあります。これらをインターネットに公開されたラップトップで実行すると、基本的にリモート攻撃者が悪用するためのバックドアを提供することになります。これにより、自宅ネットワークと、マシンからアクセスしたすべての業務用および個人用アカウントが完全に侵害される可能性があります。
GitLab 内部利用ポリシーでは、GitLab 所有のコンピューターのセキュリティを回避することを禁止しています。この方法で ngrok を使用することは、ファイアウォール要件を回避する例です。
ngrok の代替手段は、GitLab Sandbox Cloudを使用して一時的なインフラストラクチャを作成することです。
ファイアウォールを回避する必要がある場合は、ラップトップで以下のネットワークシナリオ/構成のいずれかを使用して、可能な限り安全に行ってください:
テストシナリオ中にインターネットアクセスが不要な場合は、テストでファイアウォールを無効にする前にインターネットから切断し、インターネットへ再接続する前に再び有効にします。
接続するネットワークが公共ネットワーク、またはパスワードが広く知られている WiFi パスワードのネットワーク（例: 黒板にパスワードが書かれているコーヒーショップの WiFi ネットワーク）でないことを確認してください。ネットワークを保護するインターネットルーター内蔵のファイアウォールの背後にラップトップがある自宅ネットワークは、非公開ネットワークとみなされます。詳細はワイヤレスネットワークを参照してください。
ファイアウォールをアクティブのままにし、仮想マシンとコンテナを使用して自己完結型ネットワーク構成を作成します。
テストを頻繁に行う場合は、テストに必要なポートのみを許可するようファイアウォールを構成し、分離ネットワークに留まるか、個人用 VPNを使用してください。
質問がある場合は、
#securitySlack チャンネルで Security 部門にお問い合わせください。
a1f3c26a)