Geführtes Abwehrlab
Netzwerk- und Egress-Beschränkungen
Eine geführte Übung zu genau einer Frage: Darf dieser Workload diesen Netzwerkpfad zu diesem aufgelösten Ziel unter der anwendungseigenen Egress-Richtlinie aufbauen? Dienst-IDs, kanonische Ziele, Weiterleitungs-Hops, interne Ziele und warum Erreichbarkeit keine Erlaubnis ist.
Diese Übung verwendet redaktionell festgelegte, deterministische Beispiele mit fiktiven Workloads, Diensten und .example.test-Namen. Sie baut keine Netzwerkverbindungen auf, führt keine DNS-Abfragen aus, ruft keine Tools, APIs oder Modelle auf und sagt nicht voraus, wie sich ein reales System verhält.
Lernziele
- Egress anhand von Egress-Klasse des Workloads, Dienst-ID oder Zielklasse, kanonischem Ziel, aufgelöster Netzklasse und Richtlinienversion entscheiden.
- Jeden Weiterleitungs-Hop als neue Egress-Entscheidung behandeln.
- Erkennen, dass eine schemagültige URL oder ein Hostname-String kein erlaubtes, aktuell aufgelöstes Ziel ist.
- Erklären, warum interne Ziele nicht automatisch erreichbar sind und warum Erreichbarkeit kein Vertrauen bedeutet.
- Egress von Agentenautorisierung, Informationsflusskontrolle, Least Privilege und Ausgabevalidierung abgrenzen.
- Erklären, warum ein Modell keine Ausnahme, Dienst-ID oder Allowlist-Eintrag erzeugen kann und warum ein blockierter Pfad kein Angriffsbeweis ist.
Voraussetzungen
- Abwehrartikel Netzwerk- und Egress-Beschränkungen (empfohlen)
- Lab Agentenautorisierung (empfohlen)
Egress-Pfad
Die Anwendung weist dem Workload eine Egress-Klasse zu, kanonisiert und löst jedes vorgeschlagene Ziel auf, erfasst aufgelöste Attribute und Weiterleitungs-Hops, entscheidet nach Egress-Richtlinie und setzt an einem Netzwerkpunkt durch. Vorgeschlagene Zielwerte bleiben variabel. Entfernte Inhalte und Aussagen werden nie anwendungseigen, nur weil ein Ziel erreichbar ist.
- Workload- / Aufgaben-Egress-KlasseAnwendungseigen->
- Vorgeschlagener ZielwertVariabler Inhalt->
- Kanonisierung + Auflösung von Dienst / ZielAnwendungseigen->
- Aufgelöste Netzattribute / Weiterleitungs-HopAnwendungseigen->
- Egress-RichtlinienentscheidungAnwendungseigen->
- Netzwerk-DurchsetzungspunktAnwendungseigen
Aufgaben- und Modelltext
Was die Person fragt und was ein Modell vorschlägt oder behauptet. Es kann keine Dienst-ID, Ausnahme oder Allowlist-Eintrag erzeugen.
- Aufgabe
Wie viele Einheiten von Artikel K-12 sind auf Lager?
- Modellvorschlag
Dienst inventory-read aufrufen: GET Bestand für K-12
Netzfakten der Anwendung
Egress-Klasse des Workloads, Dienstzuordnung, kanonisches Ziel, aufgelöste Netzklasse, TLS-Identität, Weiterleitungs-Hops und Richtlinienversion, wie von der Anwendung erfasst.