VPN upozorenja o prijavi nisu upozorenja o upadu: pratite sesiju
Neobična prijava je povod za pregled, a ne presuda. Povežite zapis o autentifikaciji sa sesijom, a zatim s onim što je ta sesija dotakla, prije nego to nazovete upadom.
VPN upozorenje koje se aktivira na novu zemlju djeluje konačno i obično nije. Autentifikacija kaže da je pokušaj prihvaćen; sesija kaže koja ga je veza nosila; zapisi o resursima kažu šta se dogodilo unutar te veze. Svaki odgovara na drugo pitanje. Pravilo koje sve tri spaja proizvodi trideset tiketa u ponedjeljak i promašuje stvarni slučaj u petak.
Strana adresa je pitanje, a ne odgovor
Putovanja, mobilni operateri koji izlaze u drugoj zemlji, korporativni web proxy i preraspodijeljeni carrier-grade NAT pool pomjeraju prividni izvor, ali ne pomjeraju napadača. Zapis o prijavi odražava gdje je veza ušla u mrežu, a ne ko je držao uređaj.
Obrnuti promašaj je gori jer je tih. Ukradena lozinka upotrijebljena iz korisnikovog grada daje prijavu koja se poklapa sa svakom prethodnom prijavom na provjeri geografije.
Tretiranje geografije kao presude ima mjerljivu cijenu. Noutbuki koji putuju stvaraju stalan tok pregleda, pregledači uče da ih zatvaraju bez čitanja, a navika traje dok stvarni slučaj ne stigne u isti red.
Tri vrste zapisa odgovaraju na tri različita pitanja
Pođite od onoga što raspoređeni proizvodi zaista emitiraju, a ne od onoga što brošura proizvoda sugerira da bi mogli. Odluka o autentifikaciji imenuje tvrđeni identitet, metodu i rezultat. Životni ciklus sesije imenuje vezu, gateway i dodijeljenu adresu, od početka do zaustavljanja.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Prazna ćelija je praznina u prikupljanju, a ne oslobađajuća presuda. Ako događaji o resursima nikada ne stignu, odsustvo sumnjivog čitanja znači da pipeline nema šta prijaviti, a tiha tabla opisuje pipeline, a ne mrežu. Zapišite koje zapise raspoređivanje zaista proizvodi prije nego obećate pravilo koje o njima ovisi i imenujte vlasnika svakog nedostajućeg feeda.
Računovodstveni detalji su mjesto gdje sesije postaju provjerljive. RADIUS računovodstvo kako je opisano u RFC 2866 nosi početak, kraj i privremena ažuriranja vezana za identifikator sesije, pa je sesija s početkom i bez kraja praznina koju možete imenovati umjesto misterije.
Spajajte po sesiji, a ne po korisničkom imenu
Jedan račun legitimno drži nekoliko sesija istovremeno: laptop, telefon, laboratorijska mašina ostavljena spojena preko noći. Spajanje svakog događaja za to korisničko ime stapa tri uređaja u jednu priču i zatim čita kombinaciju kao kompromis. Dodijeljene adrese se također recikliraju, pa spoj koji nastavlja poklapati adresu nakon završetka sesije vuče prošlomjesečni uređaj u današnji incident. Zadržite ključ sesije uz adresu i ograničite poklapanje vremenskim prozorom koji je sesija stvarno pokrivala.
Gdje prijevod uklanja izvorni izvor prije nego ga servis vidi, upotrijebite identitet koji preživljava na toj granici, poput subjekta uzajamnog TLS-a ili tvrdnje jedinstvene prijave. Izmišljanje preslikavanja jedan-na-jedan između adrese i osobe ista je greška s dodatnim koracima.
Upozorenje bez vlasnika je tabla
Svako pravilo treba uvjet, bezazlena objašnjenja koja ga proizvode, dokaze koje treba izvući i osobu koja djeluje. Ponovljena odbijena administrativna operacija, nalet neuspjelih lozinki i nijemi kolektor tri su različita incidenta s tri različita sata.
Obavijest nije zadržavanje i lista za distribuciju ništa ne ograničava. Promjena žive sesije zahtijeva komponentu koja to može, bilo gateway koji prekida vezu bilo davatelj identiteta koji opoziva sesiju. Zastarjeli feedovi i nedostajući zapisi o zaustavljanju također pripadaju tekstu pravila, jer kolektor koji dan nije poslao ništa izgleda s table točno kao tiha mreža. Razlika je vidljiva samo u samom pipelineu.
Provjerite put prikupljanja prije nego povjerujete tihoj sedmici
Dokažite pipeline od početka do kraja prije nego uglasite ijedno pravilo. Naredbe u nastavku potvrđuju da su slušači autentifikacije i računovodstva aktivni, da se probni akreditiv odbija iz pravog razloga i da događaji sesije još stižu:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject iz testa dokazuje da je zahtjev stigao do poslužitelja i da se zajednička tajna poklopila, a to je dio koji ljudi preskaču. Istek vremena umjesto toga upućuje na tajnu, slušač ili filtar ispred njega, i svako upozorenje nizvodno nije provjerljivo dok se to ne popravi.
Stanje sata je važno jer korelacijski prozori pretpostavljaju slaganje. Gateway koji odstupa nekoliko minuta čini inače čisto spajanje sesije nemogućim, a pregledači to nadoknađuju širenjem prozora dok spajanje ne prestane razlikovati. Provjerite odstupanje prije uređivanja pravila.
Zatim provedite jedno pravilo kroz bezopasan test: generirajte prijavu s neočekivane adrese, potvrdite da se upozorenje aktivira, potvrdite da osoba koja reagira može izvući sesiju i njezine događaje o resursima i potvrdite da tiket nosi identifikator sesije. Pravilo koje proizvodi koherentnu priču prolazi. Pravilo koje proizvodi hrpu redaka zapisa i dalje je tabla. Zapišite rezultat uz pravilo da sljedeći pregled počne od dokaza, a ne od intuicije.