Известията за вход във VPN не са известия за проникване: следете сесията
Необичайното влизане е повод за проверка, а не присъда. Свържете записа за удостоверяване със сесия, а после и с това до какво е имала достъп, преди да го наречете проникване.
Известие за VPN, което се задейства при нова държава, изглежда окончателно и обикновено не е. Удостоверяването казва, че даден опит е приет; сесията казва коя връзка го е пренесла; записите за ресурси казват какво се е случило вътре в тази връзка. Всяко от тях отговаря на различен въпрос. Правило, което слива трите, произвежда тридесет тикета в понеделник и пропуска истинския случай в петък.
Чуждият адрес е въпрос, а не отговор
Пътуванията, мобилните оператори, които излизат в друга държава, корпоративното уеб прокси и преразпределеният пул carrier-grade NAT местят видимия източник, без да местят нападателя. Записът за влизане отразява откъде връзката е влязла в мрежата, а не кой е държал устройството.
Обратният провал е по-лош, защото е тих. Открадната парола, използвана от града на самия потребител, дава влизане, което съвпада с всяко предишно влизане по проверката за география.
Третирането на географията като присъда има измерима цена. Пътуващите лаптопи създават постоянен поток от проверки, проверяващите се учат да ги затварят без четене и навикът оцелява, докато истински случай не попадне в същата опашка.
Три вида записи отговарят на три различни въпроса
Започнете от това, което внедрените продукти действително излъчват, а не от това, което продуктовата брошура подсказва, че биха могли. Решението за удостоверяване посочва заявената самоличност, метода и резултата. Жизненият цикъл на сесията посочва връзката, шлюза и зададения адрес, от начало до спиране.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Празната клетка е пропуск в събирането, а не оправдание. Ако събитията за ресурси никога не пристигат, липсата на подозрително четене означава, че потокът няма какво да докладва, и тихото табло описва потока, а не мрежата. Запишете кои записи внедряването наистина произвежда, преди да обещаете правило, което зависи от тях, и назовете собственика на всеки липсващ канал.
Счетоводните детайли са мястото, където сесиите стават проверими. RADIUS отчитането, описано в RFC 2866, носи начало, край и междинни обновявания, свързани с идентификатор на сесия, така че сесия с начало и без край е пропуск, който можете да назовете, вместо загадка.
Свързвайте по сесията, не по потребителското име
Един акаунт законно държи няколко сесии наведнъж: лаптоп, телефон, лабораторна машина, оставена свързана през нощта. Свързването на всяко събитие за това потребителско име слива три устройства в една история и после чете комбинацията като компрометиране. Зададените адреси също се преизползват, така че съединение, което продължава да съвпада с адрес след края на сесията, влачи устройството от миналия месец в днешния инцидент. Пазете ключа на сесията до адреса и ограничете съвпадението до времевия прозорец, който сесията действително е покривала.
Където преводът премахва оригиналния източник, преди услугата да го види, използвайте самоличността, която оцелява на тази граница, например субект на взаимно TLS или твърдение за единен вход. Измислянето на съответствие едно към едно между адрес и човек е същата грешка с допълнителни стъпки.
Известие без собственик е табло
Всяко правило се нуждае от условие, от безобидните обяснения, които го пораждат, от доказателствата, които да се изтеглят, и от човека, който действа. Повтаряща се отказана административна операция, взрив от неуспешни пароли и мълчалив колектор са три различни инцидента с три различни часовника.
Известието не е ограничаване и списъкът за разпространение не ограничава нищо. Промяната на жива сесия изисква компонента, който може да го направи, било то шлюзът, който прекъсва връзката, или доставчикът на самоличност, който отменя сесията. Остарелите канали и липсващите записи за край също принадлежат към текста на правилото, защото колектор, който не е изпратил нищо за денонощие, изглежда точно като тиха мрежа от таблото. Разликата се вижда само в самия поток.
Проверете пътя на събиране, преди да се доверите на тиха седмица
Докажете потока от край до край, преди да настроите дори едно правило. Командите по-долу потвърждават, че слушателите за удостоверяване и отчитане работят, че тестово удостоверение се отхвърля по правилната причина и че събитията за сесии все още пристигат:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Отказ на достъп от теста доказва, че заявката е стигнала до сървъра и споделената тайна съвпада, а точно тази част хората прескачат. Изтичане на времето вместо това сочи към тайната, слушателя или филтър пред него и всяко известие надолу по веригата е непроверимо, докато това не се поправи.
Състоянието на часовника е важно, защото прозорците за корелация предполагат съгласие. Шлюз, изместен с минути, прави иначе чисто съединение на сесия да изглежда невъзможно и проверяващите компенсират, като разширяват прозореца, докато съединението спре да различава. Проверете отместването, преди да редактирате правилото.
След това прекарайте едно правило през безобиден тест: генерирайте влизане от неочакван адрес, потвърдете, че известието се задейства, потвърдете, че реагиращият може да изтегли сесията и събитията ѝ за ресурси, и потвърдете, че тикетът носи идентификатора на сесията. Правило, което произвежда свързана история, минава. Правило, което произвежда купчина редове от журнала, все още е табло. Запишете резултата срещу правилото, за да започне следващата проверка от доказателства, а не от интуиция.