Nessus per VPN: on col·locar l’escàner abans del primer escaneig

Una icona de VPN al costat del navegador no diu res sobre el procés que envia els paquets d’escaneig. Si la consola i l’escàner s’executen en hosts diferents, el túnel del navegador és un camí i l’origen de l’escaneig és un altre. Comença pel punt d’execució i després ves cap enfora: la ruta, l’autorització i les credencials. Aquesta distinció és el primer element de la llista per una raó.

Aquesta és una llista de comprovació abans del llançament, no un tutorial d’escaneig. Cada pas produeix un fet que pots registrar a l’expedient de l’encàrrec abans que cap paquet surti de l’escàner.

Primera comprovació: localitza el procés que envia les sondes

Dibuixa els tres rols explícitament: el navegador a l’ordinador portàtil A, la consola d’escaneig a l’host B i l’objectiu privat C. Si B també executa el motor d’escaneig, el navegador només necessita un camí cap a B. Si la feina la fa un aparell d’escaneig separat, aquest aparell necessita el camí cap a C.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Un navegador connectat a la VPN pot arribar a la consola mentre l’escàner al darrere encara no té ruta cap a C. També és possible el contrari: l’escàner és dins de la xarxa privada i la consola és remota. Esbrina quina disposició executes realment abans de canviar cap control de xarxa. Anomena l’aparell a la configuració de l’escaneig abans de culpar la xarxa.

Si l’escàner s’executa a A, l’host del navegador i l’escàner comparteixen un context, però només mentre aquest procés manté el mateix espai de noms i la mateixa taula d’encaminament. Un contenidor o un compte de servei pot no heretar el que veu el navegador interactiu. La consola és una superfície d’administració, no el motor d’escaneig.

Segona comprovació: demostra la ruta i el DNS de l’escàner

Executa la comprovació de ruta a l’host de l’escàner, no a l’ordinador portàtil. Pregunta al nucli quina interfície i quina porta d’enllaç faria servir per a l’adreça de l’objectiu, i després repeteix-ho per al nom d’host de l’objectiu. Una ruta que existeix per a la IP i un nom que resol a una altra adreça són dues fallades diferents.

Confirma l’adreça d’origen que apareixerà a l’objectiu. Un client VPN pot assignar una adreça diferent de la que espera el tallafoc de l’objectiu, i un dispositiu NAT la pot reescriure una altra vegada. El propietari de l’objectiu necessita l’origen observat, no l’adreça impresa al perfil de la VPN.

Comprova també el camí de tornada. Un escàner que arriba a l’objectiu però no rep cap resposta té un problema d’encaminament o de tallafoc al camí de tornada, i això sembla exactament igual que un objectiu caigut.

Tercera comprovació: aconsegueix l’autorització de l’abast i del punt de vista

Demana al propietari de l’objectiu que anomeni per escrit els sistemes, serveis, entorn, origen i finestra temporal. Decideix quin punt de vista representa l’avaluació: un usuari de VPN extern, un client intern admès o un segment d’escàner concret.

Una ruta privada no és permís per provar xarxes adjacents. Mantén la llista d’objectius estreta, enumera els sistemes exclosos i acorda condicions d’aturada i un contacte que pugui aturar l’execució. L’escàner sonda de bon grat tot el que pot abastar, i per això mateix l’abast ha de ser explícit.

Registra l’origen aprovat al mateix document. Si l’origen observat per l’escàner difereix de l’aprovat, l’execució no representa el punt de vista acordat encara que la llista d’objectius sigui correcta.

Quarta comprovació: ajusta les credencials a la profunditat de l’avaluació

Una comprovació d’accessibilitat i una avaluació autenticada són proves diferents. Una resposta de port demostra que alguna cosa ha respost; no demostra que s’hagin executat comprovacions amb credencials ni que l’aplicació hagi autoritzat el compte.

Utilitza credencials dedicades només quan l’abast acordat requereixi comprovacions autenticades. Confirma els permisos i la política de bloqueig del compte, i decideix com s’emmagatzemaran i compartiran les troballes abans que l’escaneig les generi.

Si les credencials fallen, no passis silenciosament a una execució no autenticada ni etiquetis l’informe com l’avaluació planificada. El resultat és una prova diferent amb un significat diferent, i aquesta diferència pertany a l’informe.

Cinquena comprovació: desa el pla i després llança amb deliberació

Al flux de treball d’escaneig de Nessus, triar una plantilla, configurar els paràmetres i desar o llançar l’escaneig són passos separats. Aprofita aquesta separació per revisar la llista d’objectius, l’origen i la programació abans que comenci cap trànsit.

Abans d’autoritzar el llançament, comprova quin origen permet la VPN, quin trànsit transporta i com es recupera d’un túnel caigut. No ampliïs l’accés del tallafoc només perquè una connexió preliminar ha fallat; troba la capa que la va rebutjar i corregeix aquella capa.

Després de l’execució, registra l’host de l’escàner, l’origen observat, la llista d’objectius i les comprovacions que no s’hagin pogut completar. Un informe produït des d’un altre origen o sense les credencials previstes no representa el pla original, i dir-ho forma part del lliurable.

Retira els accessos de l’encàrrec i tracta els resultats conservats segons el procés acordat. La llista de comprovació només s’acaba quan les proves coincideixen amb el camí que has aprovat, no quan l’escaneig simplement ha retornat resultats.