Snort a la vora de la VPN: on són visibles els paquets

Seguiu una sol·licitud des d’un portàtil remot i travessa diverses fronteres abans que res la pugui inspeccionar. El túnel exterior acaba al procés de la VPN, el paquet interior apareix en una interfície i la sessió HTTPS interior continua fins a l’aplicació. Una eina d’inspecció només veu allò que és visible en el punt on li arriben els paquets. Instal·leu-ne una sense decidir aquest punt i els registres descriuran la capa equivocada.

Un paquet travessa diverses fronteres

Abans de la terminació de la VPN, l’observador veu una connexió exterior, normalment cap al port de la VPN, amb adreces i mides però sense estructura interior. Després de la terminació, les adreces, els ports i els protocols interiors estan disponibles en qualsevol punt de processament que els lliuri. El TLS propi de l’aplicació continua xifrat tret que un disseny separat el termini. Aquests són tres nivells de visibilitat, i el nom del paquet no us diu quin heu comprat.

Dibuixeu el camí amb les fronteres marcades i després col·loqueu el sensor a la línia on es pot respondre la pregunta, perquè la ubicació forma part de la resposta. Una frontera que no podeu anomenar és una frontera que no podeu provar.

Mireu què és llegible a cada punt

Comproveu la interfície i una captura curta abans de confiar en qualsevol descripció de l’arquitectura.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

La llista d’enllaços mostra els túnels i les interfícies físiques existents, i la captura mostra exactament què rebria un sensor connectat allà. Si mostra adreces interiors però cap línia de sol·licitud HTTP, sou després de la terminació de la VPN i encara fora del TLS de l’aplicació. Aquest és el lloc normal per a la detecció de xarxa i el lloc equivocat per a la inspecció del contingut. Repetiu la captura a la interfície exterior per comparar què exposa l’altra frontera.

La detecció passiva no pot bloquejar per si sola

La documentació d’inspecció de Snort separa l’observació passiva de l’operació en línia. El mode passiu pot alertar sobre el trànsit sense aturar-lo en aquest camí.

snort -T -c /etc/snort/snort.lua

El mode de prova valida la configuració sense executar el sensor, que és el primer pas correcte abans de qualsevol desplegament. L’operació en línia necessita un acord compatible d’adquisició de paquets i una configuració d’aplicació corresponent, no només una opció addicional. Per tant, una entrada de registre no és prova que s’hagi impedit una sol·licitud, i un procés iniciat amb una opció que sembla en línia no demostra que el flux reenviat real hi passi. Confirmeu on la implementació lliura realment els paquets.

Trieu el mode d’aplicació abans de desplegar

Decidiu si el requisit és visibilitat o prevenció, perquè tots dos comporten un comportament de fallada diferent. Un sensor passiu que mor deixa el trànsit fluint i produeix un buit de monitoratge; un dispositiu en línia que mor pot deixar passar el trànsit o aturar-lo, i aquesta elecció ha de ser deliberada. Acordeu un flux permès, un flux que s’ha de denegar i el comportament que voleu quan falla el sensor. Mantingueu la recuperació de gestió separada del camí inspeccionat, perquè un error al sensor no us tregui també l’accés.

Després registreu el trànsit visible, el punt de processament i el comportament d’aplicació. Aquests tres fets, no el paquet instal·lat, descriuen què fa realment el desplegament.