VPN-aanmeldwaarskuwings is nie inbraakwaarskuwings nie: volg die sessie

’n VPN-waarskuwing wat op ’n nuwe land afgaan, voel beslissend, en dit is gewoonlik nie. Verifikasie sê dat ’n poging aanvaar is; die sessie sê watter verbinding dit gedra het; hulpbronrekords sê wat binne daardie verbinding gebeur het. Elkeen beantwoord ’n ander vraag. ’n Reël wat al drie saamgooi, lewer dertig kaartjies op ’n Maandag en mis die werklike geval op ’n Vrydag.

’n Buitelandse adres is ’n vraag, nie ’n antwoord nie

Reis, mobiele operateurs wat in ’n ander land uitgaan, ’n korporatiewe webproxy en ’n hertoegewysde carrier-grade NAT-poel verskuif almal die oënskynlike bron sonder om die aanvaller te verskuif. Die aanmeldrekord weerspieël waar die verbinding die netwerk binnegekom het, nie wie die toestel vasgehou het nie.

Die omgekeerde fout is erger omdat dit stil is. ’n Gestelde wagwoord wat uit die gebruiker se eie stad gebruik word, lewer ’n aanmelding wat by elke vorige aanmelding op die geografie-kontrole pas.

Om geografie as die vonnis te beskou, het ’n meetbare koste. Rondreisende skootrekenaars lewer ’n bestendige stroom hersienings, beoordelaars leer om dit sonder lees te sluit, en die gewoonte hou tot ’n werklike geval in dieselfde ry beland.

Drie rekordtipes beantwoord drie verskillende vrae

Begin by wat die ontplooide produkte uitstuur, nie by wat ’n produkbrotsjure sê hulle kan uitstuur nie. Die verifikasiebesluit noem die beweerde identiteit, die metode en die resultaat. Die sessielewensiklus noem die verbinding, die gateway en die toegewysde adres, van begin tot stop.

’n Leë sel is ’n versamelingsgaping, nie ’n vryspraak nie. As hulpbrongebeurtenisse nooit opdaag nie, beteken die afwesigheid van ’n verdagte lees dat die pyplyn niks het om te rapporteer nie, en ’n stil paneelbord beskryf die pyplyn eerder as die netwerk. Skryf neer watter rekords die ontplooiing werklik lewer voordat jy ’n reël belowe wat daarvan afhang, en noem die eienaar van elke ontbrekende voer.

Rekeningkundige besonderhede is waar sessies kontroleerbaar word. RADIUS-rekeningkunde soos beskryf in RFC 2866 dra begin-, stop- en tussentydse opdaterings wat aan ’n sessie-identifiseerder gekoppel is, so ’n sessie met ’n begin en geen stop is ’n gaping wat jy kan benoem eerder as ’n raaisel.

Koppel op die sessie, nie op die gebruikersnaam nie

Een rekening hou wettig verskeie sessies gelyktydig: ’n skootrekenaar, ’n foon, ’n laboratoriummasjien wat oornag verbind gelaat is. Om elke gebeurtenis vir daardie gebruikersnaam te koppel, smelt drie toestelle in een verhaal saam en lees dan die kombinasie as ’n oortreding. Toegewysde adresse word ook hergebruik, so ’n koppeling wat ’n adres bly pas nadat die sessie geëindig het, sleep verlede maand se toestel in vandag se voorval in. Hou die sessiesleutel langs die adres en begrens die passing deur die tydvenster wat die sessie werklik gedek het.

Waar vertaling die oorspronklike bron stroop voordat ’n diens dit sien, gebruik die identiteit wat by daardie grens oorleef, soos ’n mutual TLS-onderwerp of ’n single sign-on-bewering. Om ’n een-tot-een-kartering tussen ’n adres en ’n persoon te bedink, is dieselfde fout met ekstra stappe.

’n Waarskuwing sonder ’n eienaar is ’n paneelbord

Elke reël benodig ’n voorwaarde, die onskuldige verklarings wat dit lewer, die bewyse om te trek, en die persoon wat optree. ’n Herhaalde geweierde administratiewe bewerking, ’n uitbarsting van mislukte wagwoorde en ’n stille versamelaar is drie verskillende voorvalle met drie verskillende klokke.

Kennisgewing is nie inperking nie, en ’n verspreidingslys beperk niks. Om ’n lewendige sessie te verander, vereis die komponent wat dit kan doen, of dit nou die gateway is wat die verbinding laat val of die identiteitsverskaffer wat die sessie herroep. Vervalle voer en ontbrekende stoprekords hoort ook in die reëlteks, want ’n versamelaar wat ’n dag lank niks gestuur het nie, lyk presies soos ’n stil netwerk vanaf die paneelbord. Die verskil is net in die pyplyn self sigbaar.

Kontroleer die versamelpad voordat jy ’n stil week vertrou

Bewys die pyplyn van begin tot einde voordat jy ’n enkele reël instel. Die opdragte hieronder bevestig dat die verifikasie- en rekeningkundige luisteraars aan is, dat ’n toetsgeloofsbrief om die regte rede verwerp word, en dat sessiegebeurtenisse steeds arriveer:

ss -uanp | grep -E ':(1812|1813)\b'
radtest alice 'not-the-password' 127.0.0.1 0 testing123
journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated'
timedatectl | grep -E 'System clock|synchronized'

’n Access-Reject uit die toets bewys dat die versoek die bediener bereik het en die gedeelde geheim ooreengestem het, wat die deel is wat mense oorslaan. ’n Timeout wys eerder na die geheim, die luisteraar of ’n filter voor dit, en elke waarskuwing stroomaf is onverifieerbaar totdat dit reggemaak is.

Kloktoestand maak saak omdat korrelasievensters ooreenkoms veronderstel. ’n Gateway wat minute verkeerd is, laat ’n andersins skoon sessiepassing onmoontlik lyk, en beoordelaars kompenseer deur die venster te verbreed totdat die passing ophou onderskei. Kontroleer die afwyking voordat jy die reël wysig.

Oefen dan een reël onder ’n onskadelike toets: genereer ’n aanmelding vanaf ’n onverwagte adres, bevestig dat die waarskuwing afgaan, bevestig dat die reageerder die sessie en sy hulpbrongebeurtenisse kan trek, en bevestig dat die kaartjie die sessie-identifiseerder dra. ’n Reël wat ’n samehangende verhaal lewer, slaag. ’n Reël wat ’n hoop loglyne lewer, is steeds ’n paneelbord. Teken die resultaat teen die reël aan sodat die volgende hersiening van bewyse eerder as intuïsie begin.