Els avisos d'inici de sessió VPN no són avisos d'intrusió: vigila la sessió

Un avís de VPN que salta per un país nou sembla concloent, i normalment no ho és. L'autenticació diu que un intent s'ha acceptat; la sessió diu quina connexió l'ha portat; els registres de recursos diuen què ha passat dins d'aquesta connexió. Cadascun respon una pregunta diferent. Una regla que fusiona els tres produeix trenta tiquets un dilluns i deixa passar el cas real un divendres.

Una adreça estrangera és una pregunta, no una resposta

Els viatges, els operadors mòbils que surten en un altre país, un proxy web corporatiu i un pool de NAT d'operador reassignat mouen tots l'origen aparent sense moure l'atacant. El registre d'inici de sessió reflecteix per on la connexió ha entrat a la xarxa, no qui tenia el dispositiu.

El fracàs invers és pitjor perquè és silenciós. Una contrasenya robada feta servir des de la ciutat del mateix usuari produeix un inici de sessió que coincideix amb tots els anteriors en la comprovació geogràfica.

Tractar la geografia com el veredicte té un cost mesurable. Els portàtils que viatgen generen un flux constant de revisions, els revisors aprenen a tancar-les sense llegir-les, i l'hàbit sobreviu fins que un cas real arriba a la mateixa cua.

Tres tipus de registre responen tres preguntes diferents

Comença pel que els productes desplegats emeten, no pel que un fullet diu que podrien emetre. La decisió d'autenticació anomena la identitat afirmada, el mètode i el resultat. El cicle de vida de la sessió anomena la connexió, la porta d'enllaç i l'adreça assignada, des de l'inici fins a l'aturada.

Una cel·la buida és un buit de recollida, no una absolució. Si els esdeveniments de recursos no arriben mai, l'absència d'una lectura sospitosa vol dir que el pipeline no té res a informar, i un tauler silenciós descriu el pipeline, no la xarxa. Anota quins registres produeix realment el desplegament abans de prometre una regla que en depengui, i nomena el propietari de cada flux que falti.

El detall comptable és on les sessions esdevenen verificables. La comptabilitat RADIUS descrita a RFC 2866 porta actualitzacions d'inici, aturada i intermèdies lligades a un identificador de sessió, així que una sessió amb inici i sense aturada és un buit que pots anomenar en lloc d'un misteri.

Uneix per la sessió, no pel nom d'usuari

Un compte manté legítimament diverses sessions alhora: un portàtil, un telèfon, una màquina de laboratori deixada connectada tota la nit. Unir cada esdeveniment d'aquest nom d'usuari fusiona tres dispositius en una història i després llegeix la combinació com a compromís. Les adreces assignades també es reciclen, així que una unió que continua coincidint amb una adreça després que la sessió acabi arrossega el dispositiu del mes passat a l'incident d'avui. Conserva la clau de sessió al costat de l'adreça i limita la coincidència a la finestra temporal que la sessió va cobrir realment.

On la traducció elimina l'origen original abans que el servei el vegi, fes servir la identitat que sobreviu en aquesta frontera, com ara un subjecte de TLS mutu o una asserció d'inici de sessió únic. Inventar una correspondència un a un entre una adreça i una persona és el mateix error amb passos extra.

Un avís sense propietari és un tauler

Cada regla necessita una condició, les explicacions benignes que la produeixen, l'evidència que cal recollir i la persona que actua. Una operació administrativa denegada repetida, una allau de contrasenyes fallides i un recol·lector silenciós són tres incidents diferents amb tres rellotges diferents.

La notificació no és la contenció, i una llista de distribució no restringeix res. Canviar una sessió viva requereix el component que ho pot fer, sigui la porta d'enllaç que talla la connexió o el proveïdor d'identitat que revoca la sessió. Els fluxos obsolets i els registres d'aturada que falten també pertanyen al text de la regla, perquè un recol·lector que no ha enviat res durant un dia sembla exactament una xarxa silenciosa des del tauler. La diferència només es veu al mateix pipeline.

Comprova el camí de recollida abans de confiar en una setmana tranquil·la

Demostra el pipeline de punta a punta abans d'ajustar una sola regla. Les ordres següents confirmen que els escoltadors d'autenticació i comptabilitat estan actius, que una credencial de prova es rebutja pel motiu correcte i que els esdeveniments de sessió encara arriben:

ss -uanp | grep -E ':(1812|1813)\b'
radtest alice 'not-the-password' 127.0.0.1 0 testing123
journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated'
timedatectl | grep -E 'System clock|synchronized'

Un Access-Reject de la prova demostra que la petició ha arribat al servidor i que el secret compartit ha coincidit, i aquesta és la part que la gent s'estalvia. Un temps d'espera, en canvi, assenyala el secret, l'escoltador o un filtre al davant, i cada avís posterior és inverificable fins que això es corregeixi.

L'estat del rellotge importa perquè les finestres de correlació pressuposen acord. Una porta d'enllaç desviada uns minuts fa que una unió de sessió neta sembli impossible, i els revisors compensen ampliant la finestra fins que la unió deixa de discriminar. Comprova el desfasament abans d'editar la regla.

Després posa una regla a prova amb un test inofensiu: genera un inici de sessió des d'una adreça inesperada, confirma que l'avís salta, confirma que el respondedor pot extreure la sessió i els seus esdeveniments de recursos, i confirma que el tiquet porta l'identificador de sessió. Una regla que produeix una història coherent passa. Una regla que produeix un munt de línies de registre encara és un tauler. Anota el resultat contra la regla perquè la propera revisió comenci amb evidència i no amb intuïció.