Nessus праз VPN: дзе павінен стаяць сканер да першага сканавання

Значок VPN побач з браўзерам нічога не кажа пра працэс, які дасылае пакеты сканавання. Калі кансоль і сканер працуюць на розных хостах, тунель браўзера — гэта адзін шлях, а крыніца сканавання — іншы. Пачніце з пункта выканання, а потым рухайцеся вонкі: маршрут, аўтарызацыя і ўліковыя даныя. Гэтае размежаванне стаіць першым пунктам спіса невыпадкова.

Гэта спіс праверак перад запускам, а не падручнік па сканаванні. Кожны крок дае факт, які можна занесці ў запіс пра працу, перш чым хоць адзін пакет пакіне сканер.

Праверка першая: знайдзіце працэс, які дасылае зонды

Яўна намалюйце тры ролі: браўзер на ноўтбуку A, кансоль сканавання на хосце B і прыватную мэту C. Калі на B таксама працуе рухавік сканавання, браўзеру патрэбны толькі шлях да B. Калі працу выконвае асобная прылада сканавання, гэтай прыладзе патрэбны шлях да C.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Браўзер, падключаны да VPN, можа дабірацца да кансолі, тады як сканер за ім дагэтуль не мае маршруту да C. Магчыма і адваротнае: сканер унутры прыватнай сеткі, а кансоль аддаленая. Высветліце, якую схему вы насамрэч запускаеце, перш чым змяняць любое сеткавае кіраванне. Назавіце прыладу ў канфігурацыі сканавання, перш чым вінаваціць сетку.

Калі сканер працуе на A, хост браўзера і сканер падзяляюць кантэкст, але толькі пакуль гэты працэс захоўвае тую ж прастору імён і тую ж табліцу маршрутызацыі. Кантэйнер або службовы ўліковы запіс могуць не атрымліваць у спадчыну тое, што бачыць інтэрактыўны браўзер. Кансоль — гэта інтэрфейс кіравання, а не рухавік сканавання.

Праверка другая: давядзіце маршрут і DNS сканера

Выконвайце праверку маршруту на хосце сканера, а не на ноўтбуку. Спытайце ядро, які інтэрфейс і шлюз яно выкарыстае для адраса мэты, потым паўтарыце для імя хоста мэты. Маршрут, які існуе для IP, і імя, якое развязаецца ў іншы адрас, — гэта дзве розныя няспраўнасці.

Пацвердзіце адрас крыніцы, які з'явіцца ў мэце. Кліент VPN можа выдаць адрас, адрозны ад таго, які чакае міжсеткавы экран мэты, а прылада NAT можа перапісаць яго яшчэ раз. Уласніку мэты патрэбна назіраная крыніца, а не адрас, надрукаваны ў профілі VPN.

Праверце і зваротны шлях. Сканер, які дабіраецца да мэты, але не атрымлівае адказаў, мае праблему маршрутызацыі або міжсеткавага экрана на зваротным шляху, і гэта выглядае гэтак жа, як недаступная мэта.

Праверка трэцяя: узгадніце абсяг і пункт агляду

Папрасіце ўласніка мэты пісьмова назваць сістэмы, сэрвісы, асяроддзе, крыніцу і часавае акно. Вырашыце, які пункт агляду прадстаўляе ацэнка: знешні карыстальнік VPN, дапушчаны ўнутраны кліент ці пэўны сегмент сканера.

Прыватны маршрут не дае дазволу тэсціраваць сумежныя сеткі. Трымайце спіс мэт вузкім, пералічыце выключаныя сістэмы і ўзгадніце ўмовы прыпынку і кантакт, які можа спыніць выкананне. Сканер ахвотна правярае ўсё, да чаго можа дабрацца, і менавіта таму абсяг мусіць быць яўным.

Запішыце зацверджаную крыніцу ў тым жа дакуменце. Калі назіраная крыніца сканера адрозніваецца ад зацверджанай, запуск не прадстаўляе ўзгоднены пункт агляду, нават калі спіс мэт правільны.

Праверка чацвёртая: узгадніце ўліковыя даныя з глыбінёй ацэнкі

Праверка даступнасці і аўтэнтыфікаваная ацэнка — гэта розныя тэсты. Адказ порта даказвае, што нешта адказала; ён не даказвае, што праверкі з уліковымі данымі выконваліся або што праграма аўтарызавала ўліковы запіс.

Выкарыстоўвайце асобныя ўліковыя даныя толькі тады, калі ўзгоднены абсяг патрабуе аўтэнтыфікаваных праверак. Пацвердзіце правы ўліковага запісу і палітыку блакавання і вырашыце, як будуць захоўвацца і перадавацца вынікі, перш чым сканаванне іх стварыць.

Калі ўліковыя даныя не спрацавалі, не пераходзьце маўкліва да неаўтэнтыфікаванага запуску і не называйце справаздачу запланаванай ацэнкай. Вынік — іншы тэст з іншым значэннем, і гэтая розніца павінна быць у справаздачы.

Праверка пятая: захавайце план, а потым запускайце ўсвядомлена

У працоўным працэсе сканавання Nessus выбар шаблона, налада параметраў і захаванне або запуск сканавання — асобныя крокі. Выкарыстайце гэтую разрозненасць, каб перагледзець спіс мэт, крыніцу і расклад да пачатку любога трафіку.

Перш чым дазволіць запуск, праверце, якую крыніцу дапускае VPN, які трафік ён нясе і як аднаўляецца пасля абрыву тунеля. Не пашырайце доступ праз міжсеткавы экран толькі таму, што папярэдняе злучэнне не ўдалося; знайдзіце ўзровень, які яго адхіліў, і выпраўце гэты ўзровень.

Пасля запуску запішыце хост сканера, назіраную крыніцу, спіс мэт і ўсе праверкі, якія не ўдалося завяршыць. Справаздача, створаная з іншай крыніцы або без прадугледжаных уліковых даных, не прадстаўляе першапачатковы план, і сказаць пра гэта — частка выніку.

Адклічце доступ для працы і абыходзьцеся з захаванымі вынікамі згодна з узгодненым працэсам. Спіс праверак завершаны толькі тады, калі доказы адпавядаюць зацверджанаму шляху, а не тады, калі сканаванне проста вярнула вынікі.