Inkomende waarskuwing op ’n VPN-bediener: Lees die waarnemingspunt

’n Bediener agter ’n VPN hou sy openbare diensinskrywings, en mense hou aan om hulle te vind. Wat in die waarskuwingstou aankom, is nie een bevinding nie, maar drie moontlikes, en hulle beteken verskillende dinge. Die eerste taak is om ’n blootgestelde diens van ’n blootgestelde geloofsbrief te skei.

Werk die waarnemingspunte in volgorde deur. Stop wanneer die bewyse van kategorie verander, want die volgende stadium beantwoord ’n ander vraag.

Stadium een: Wat die vangs werklik gesien het

’n Pakkievaslegging teken aan wat op sy eie punt op die pad sigbaar was. Daardie punt kan voor ’n latere filterbesluit lê. ’n Vaste pakkie bewys dat die verkeer daar aangekom het. Dit bewys niks oor wat daarna gebeur het nie.

Let ook op die koppelvlak. ’n Vangs op die openbare adapter en ’n vangs binne die tonnel beskryf verskillende aankomspunte, en ’n waarskuwing wat die verkeerde een aanhaal, lei tot die verkeerde gevolgtrekking.

Windows filter ook op verskeie vlakke van die stapel, so die netjiese model waar die vangsinstrument op vlak twee sit en die firewall op vlak drie, oorleef nie kontak met ’n werklike produk nie. Die oorsig van die Windows Filtering Platform beskryf filtering oor stapelvlakke, en daarom moet waarnemingsorde vasgestel word eerder as aangeneem.

Stadium twee: Wat die weglaatrekord vasstel

’n Weglatingsrekord sê dat ’n beleidsgrens daardie pakkie verwerp het. Dit is sterk bewyse. Dit is ook smal bewyse, want dit dek een besluit by een grens. Niks anders in die stapel word daardeur beskryf nie.

Korreleer op die tuple en die tydstempel. Dieselfde bron, dieselfde bestemming, dieselfde poort, binne dieselfde sekonde. Sonder daardie ooreenkoms is ’n soortgelyke gebeurtenis in ’n ander log bloot ’n ander gebeurtenis, en om hulle te koppel lewer ’n verhaal wat niemand kan verdedig nie.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

’n Geslote poort en ’n weggegooide pakkie lyk van buite identies en heeltemal verskillend in hierdie twee uitsette. Daardie verskil is die hele rede om die plaaslike rekord te lees.

Stadium drie: Wat die verifikasiegebeurtenis bewys

’n Verifikasiegebeurtenis sê dat ’n komponent die versoek ver genoeg verwerk het om ’n resultaat aan te teken. Dit is die enigste van die drie stadiums wat oor identiteit praat, en dit sê niks oor hoeveel pakkies voor dit aangekom het nie.

Lees die werklike konteks van die gebeurtenis. ’n Mislukte aanmelding vir ’n rekening wat nie bestaan nie, is geraas van skandering. ’n Mislukte aanmelding vir ’n werklike rekening met ’n geloofwaardige bron is ’n ander prioriteit. ’n Suksesvolle sessie is heeltemal ’n ander soort voorval.

Let ook op die protokolname. RPC en RDP is aparte dienste met aparte poorte. ’n Detektor wat een van hulle dop, dek nie die ander een nie. Gereedskap wat netwerkaktiwiteit opsom, sê nie altyd watter van die twee die gebeurtenis opgelewer het nie.

Een gekorreleerde monster klop ’n paneelbord

Kies een gemagtigde toets, hardloop dit doelbewus en spoor dit van begin tot einde na: bestemmingsadres en koppelvlak, werklike bronadres, dienspoort, effektiewe firewallprofiel en -reël, en die ooreenstemmende diensresultaat. Sluit enige stroomop-kartering of wolkfirewall in daardie ketting in, want ’n toelatende reël daar kan ’n netjiese plaaslike reël oorheers.

Skei dan die twee verpligtinge. As administrasie slegs via VPN bedoel is, dwing dit op beide die openbare en die tonnelpad af terwyl ’n goedgekeurde herstelroete behoue bly. Om ’n verwerpte poging te monitor is nie dieselfde taak as om te besluit wat die bediener moet aanvaar nie.

’n Geografiereël of ’n geblokkeerde onverwante protokol is nie ’n plaasvervanger vir die vind van die waargenome inskrywing en die besluit wat dit ontvang het nie. ’n VPN is ook nie: om uitgaande verkeer deur ’n tonnel te lei, dokumenteer niks oor inkomende magtiging nie.