Alerta entrant en un servidor VPN: llegiu el punt d’observació

Un servidor darrere d’una VPN conserva les seves entrades públiques de servei, i la gent no para de trobar-les. El que arriba a la cua d’alertes no és una troballa, sinó tres de possibles, i signifiquen coses diferents. La primera feina és separar un servei exposat d’una credencial exposada.

Recorreu els punts d’observació per ordre. Atureu-vos quan l’evidència canvia de categoria, perquè la fase següent respon una altra pregunta.

Fase primera: què va veure realment la captura

Una captura de paquets enregistra què era visible en el seu propi punt del camí. Aquest punt pot seure abans d’una decisió de filtratge posterior. Un paquet capturat demostra que el trànsit hi va arribar. No demostra res sobre què va passar després.

Fixeu-vos també en la interfície. Una captura a l’adaptador públic i una captura dins del túnel descriuen punts d’arribada diferents, i una alerta que cita el punt equivocat porta a la conclusió equivocada.

Windows també filtra en diversos nivells de la pila, així que el model ordenat en què l’eina de captura se situa al nivell dos i el tallafoc al nivell tres no sobreviu al contacte amb un producte real. La visió general de Windows Filtering Platform descriu el filtratge entre nivells de la pila, i per això l’ordre d’observació s’ha d’establir en lloc de suposar-lo.

Fase segona: què estableix el registre de descart

Un registre de descart diu que una frontera de política va rebutjar aquell paquet. És una evidència sòlida. També és una evidència estreta, perquè cobreix una decisió en una frontera. Cap altra cosa de la pila no queda descrita per ell.

Correlacioneu per la tupla i la marca de temps. Mateixa font, mateixa destinació, mateix port, dins del mateix segon. Sense aquesta coincidència, un esdeveniment semblant en un altre registre és simplement un altre esdeveniment, i aparellar-los produeix una història que ningú no pot defensar.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Un port tancat i un paquet descartat semblen idèntics des de fora i completament diferents en aquestes dues sortides. Aquesta diferència és tota la raó per llegir el registre local.

Fase tercera: què demostra l’esdeveniment d’autenticació

Un esdeveniment d’autenticació diu que un component va processar la sol·licitud prou per enregistrar un resultat. És l’únic dels tres estadis que parla d’identitat, i no diu res sobre quants paquets havien arribat abans.

Llegiu el context real de l’esdeveniment. Un inici de sessió fallit per a un compte que no existeix és soroll d’escaneig. Un inici de sessió fallit per a un compte real amb una font versemblant és una prioritat diferent. Una sessió correcta és una categoria d’incident del tot diferent.

Vigileu també els noms dels protocols. RPC i RDP són serveis separats amb ports separats. Un detector que vigila un dels dos no cobreix l’altre. Les eines que resumeixen l’activitat de xarxa no sempre diuen quin dels dos va produir l’esdeveniment.

Una mostra correlacionada val més que un quadre de comandament

Trieu una prova autoritzada, executeu-la expressament i resseguiu-la de punta a punta: adreça de destinació i interfície, adreça d’origen real, port del servei, perfil i regla efectius del tallafoc, i el resultat corresponent del servei. Incloeu-hi qualsevol mapatge intermedi o tallafoc al núvol, perquè una regla permissiva allà pot anul·lar una regla local ben ordenada.

Després separeu les dues obligacions. Si l’administració ha de ser només per VPN, imposeu-ho tant al camí públic com al del túnel mentre manteniu una ruta de recuperació aprovada. Monitorar un intent rebutjat no és la mateixa tasca que decidir què ha d’acceptar el servidor.

Una regla de geografia o un protocol no relacionat bloquejat no substitueixen trobar l’entrada observada i la decisió que va rebre. Tampoc no ho fa una VPN: encaminar el trànsit sortint per un túnel no documenta res sobre l’autorització entrant.