Snort на краі VPN: дзе бачныя пакеты

Прасочвайце адзін запыт з аддаленага ноўтбука, і ён перасякае некалькі межаў, перш чым што-небудзь зможа яго агледзець. Знешні тунэль заканчваецца ў працэсе VPN, унутраны пакет з’яўляецца на інтэрфейсе, а сеанс HTTPS унутры працягваецца да праграмы. Інструмент агляду бачыць толькі тое, што бачна ў пункце, дзе да яго даходзяць пакеты. Усталюйце яго, не вызначыўшы гэты пункт, і часопісы апішуць не той узровень.

Адзін пакет перасякае некалькі межаў

Да завяршэння VPN назіральнік бачыць адно знешняе злучэнне, звычайна да порта VPN, з адрасамі і памерамі, але без унутранай структуры. Пасля завяршэння ўнутраныя адрасы, порты і пратаколы даступныя ў любым пункце апрацоўкі, які іх перадае. Уласны TLS праграмы застаецца зашыфраваным, калі асобная схема не завяршае яго. Гэта тры ўзроўні бачнасці, і назва пакета не кажа, які з іх вы набылі.

Намалюйце шлях з адзначанымі межамі, затым размясціце датчык на лініі, дзе можна адказаць на пытанне, бо месца — частка адказу. Мяжа, якую вы не можаце назваць, — гэта мяжа, якую вы не можаце праверыць.

Паглядзіце, што чытаецца ў кожным пункце

Праверце інтэрфейс і кароткі запіс, перш чым давяраць любому апісанню архітэктуры.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Спіс спасылак паказвае існуючыя тунэльныя і фізічныя інтэрфейсы, а запіс паказвае менавіта тое, што атрымаў бы датчык, падключаны там. Калі ён паказвае ўнутраныя адрасы, але не радкі запытаў HTTP, вы пасля завяршэння VPN і ўсё яшчэ па-за TLS праграмы. Гэта звычайнае месца для сеткавага выяўлення і няправільнае месца для агляду змесціва. Паўтарыце запіс на знешнім інтэрфейсе, каб параўнаць, што паказвае іншая мяжа.

Пасіўнае выяўленне не можа блакаваць само па сабе

Дакументацыя Snort па аглядзе аддзяляе пасіўнае назіранне ад працы ў лініі. Пасіўны рэжым можа папярэджваць пра трафік, не спыняючы яго на гэтым шляху.

snort -T -c /etc/snort/snort.lua

Тэставы рэжым правярае канфігурацыю, не запускаючы датчык, і гэта правільны першы крок перад любым разгортваннем. Праца ў лініі патрабуе сумяшчальнай схемы захопу пакетаў і адпаведнай канфігурацыі прымянення, а не проста дадатковага сцяжка. Таму запіс у часопісе не з’яўляецца доказам таго, што запыт быў прадухілены, а працэс, запушчаны з опцыяй, падобнай да працы ў лініі, не даказвае, што рэальны перададзены паток праходзіць праз яго. Пацвердзіце, дзе рэалізацыя фактычна перадае пакеты.

Выберыце рэжым прымянення да разгортвання

Вырашыце, ці патрабаванне — гэта бачнасць ці прадухіленне, бо яны маюць розныя паводзіны пры збоі. Пасіўны датчык, які выходзіць з ладу, пакідае трафік ісці і стварае прабел у маніторынгу; прылада ў лініі, якая выходзіць з ладу, можа прапускаць трафік або спыняць яго, і гэты выбар павінен быць свядомым. Дамовіцеся пра адзін дазволены паток, адзін паток, які трэба адхіліць, і паводзіны, якія вы хочаце пры збоі датчыка. Трымайце аднаўленне кіравання асобна ад шляху, які аглядаецца, каб памылка ў датчыку не пазбавіла вас доступу.

Затым запішыце бачны трафік, пункт апрацоўкі і паводзіны прымянення. Гэтыя тры факты, а не ўсталяваны пакет, апісваюць, што разгортванне фактычна робіць.