VPN serverinə daxil olan xəbərdarlıq: müşahidə nöqtəsini oxuyun

VPN arxasındakı server özünün ictimai xidmət girişlərini saxlayır və insanlar onları tapmağa davam edir. Xəbərdarlıq növbəsinə gələn bir aşkar deyil, üç mümkün aşkardır və onlar fərqli şeylər ifadə edir. İlk iş açıq xidməti açıq etimadnamədən ayırmaqdır.

Müşahidə nöqtələrini sıra ilə işləyin. Sübut kateqoriyası dəyişəndə dayanın, çünki növbəti mərhələ başqa bir suala cavab verir.

Birinci mərhələ: tutma əslində nə gördü

Paket tutması öz nöqtəsində, yolun üzərində görünənləri qeyd edir. Bu nöqtə sonrakı filtrləmə qərarından əvvəl yerləşə bilər. Tutulmuş paket trafikin ora çatdığını sübut edir. Sonra nə baş verdiyinə dair heç nə sübut etmir.

İnterfeysə də fikir verin. İctimai adapterdə tutma və tunelin içində tutma fərqli gəliş nöqtələrini təsvir edir və yanlış olanı sitat gətirən xəbərdarlıq yanlış nəticəyə aparır.

Windows həm də stekin bir neçə qatında filtrləyir, ona görə də tutma alətinin ikinci qatda, firewall-un üçüncü qatda oturduğu səliqəli model real məhsulla təmasda yaşamır. Windows Filtering Platform icmalı stek qatları üzrə filtrləməni təsvir edir, buna görə də müşahidə sırası fərz edilmək əvəzinə müəyyən edilməlidir.

İkinci mərhələ: atma qeydi nəyi təsbit edir

Atma qeydi deyir ki, siyasət sərhədi həmin paketi rədd edib. Bu güclü sübutdur. Eyni zamanda dar sübutdur, çünki bir sərhəddə bir qərarı əhatə edir. Stekdə başqa heç nə onunla təsvir olunmur.

Kortej və vaxt damğası üzərində əlaqələndirin. Eyni mənbə, eyni təyinat, eyni port, eyni saniyə ərzində. Bu uyğunluq olmadan başqa bir jurnalda oxşar görünən hadisə sadəcə başqa hadisədir və onları cütləşdirmək heç kimin müdafiə edə bilməyəcəyi bir hekayə yaradır.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Bağlı port və atılmış paket kənardan eyni görünür, bu iki çıxışda isə tamamilə fərqlidir. Bu fərq yerli qeydi oxumağın bütün səbəbidir.

Üçüncü mərhələ: autentifikasiya hadisəsi nəyi sübut edir

Autentifikasiya hadisəsi deyir ki, komponent sorğunu nəticə qeyd etmək üçün kifayət qədər emal edib. Üç mərhələdən yalnız budur ki, şəxsiyyətdən danışır və ondan əvvəl neçə paketin gəldiyi barədə heç nə demir.

Hadisənin faktiki kontekstini oxuyun. Mövcud olmayan hesab üçün uğursuz giriş skanerdən gələn səs-küydür. Real hesab üçün ağlabatan mənbədən uğursuz giriş fərqli prioritetdir. Uğurlu sessiya tamamilə fərqli insident kateqoriyasıdır.

Protokol adlarına da baxın. RPC və RDP ayrı portlarla ayrı xidmətlərdir. Onlardan birini izləyən detektor digərini əhatə etmir. Şəbəkə fəaliyyətini ümumiləşdirən alətlər hadisəni hansının yaratdığını həmişə göstərmir.

Bir əlaqələndirilmiş nümunə idarə panelindən yaxşıdır

Bir icazəli test seçin, onu qəsdən işə salın və başdan sona izləyin: təyinat ünvanı və interfeys, həqiqi mənbə ünvanı, xidmət portu, effektiv firewall profili və qaydası və uyğun xidmət nəticəsi. Bu zəncirə hər hansı yuxarı axın xəritələməsi və ya bulud firewall-u daxil edin, çünki oradakı icazəverən qayda səliqəli yerli qaydanı üstələyə bilər.

Sonra iki öhdəliyi ayırın. İdarəetmə yalnız VPN vasitəsilə nəzərdə tutulubsa, təsdiqlənmiş bərpa marşrutunu saxlayaraq bunu həm ictimai, həm də tunel yolunda tətbiq edin. Rədd edilmiş cəhdi monitorinq etmək serverin nəyi qəbul etməli olduğuna qərar verməklə eyni vəzifə deyil.

Coğrafi qayda və ya bloklanmış əlaqəsiz protokol müşahidə olunan girişi və onun aldığı qərarı tapmağın əvəzi deyil. VPN də deyil: gedən trafiki tuneldən yönləndirmək daxil olan avtorizasiya barədə heç nə sənədləşdirmir.