Nessus přes VPN: kam umístit skener před prvním skenem

Ikona VPN vedle prohlížeče nic neříká o procesu, který odesílá skenovací pakety. Pokud konzole a skener běží na různých hostitelích, tunel prohlížeče je jedna cesta a zdroj skenu druhá. Začněte u místa spuštění a postupujte ven: trasa, autorizace a přihlašovací údaje. Toto rozlišení je prvním bodem seznamu z dobrého důvodu.

Toto je kontrolní seznam před spuštěním, ne návod ke skenování. Každý krok přináší fakt, který můžete zapsat do záznamu o zakázce dřív, než skener opustí jediný paket.

Kontrola jedna: najděte proces, který odesílá sondy

Nakreslete tři role jasně: prohlížeč na notebooku A, skenovací konzoli na hostiteli B a privátní cíl C. Pokud na B běží i skenovací engine, prohlížeč potřebuje jen cestu k B. Pokud práci dělá samostatné skenovací zařízení, potřebuje toto zařízení cestu k C.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Prohlížeč připojený k VPN může dosáhnout konzole, zatímco skener za ní stále nemá trasu k C. Možné je i opak: skener je uvnitř privátní sítě a konzole je vzdálená. Zjistěte, které uspořádání skutečně provozujete, než změníte jakékoli síťové nastavení. Než obviníte síť, pojmenujte zařízení v konfiguraci skenu.

Pokud skener běží na A, hostitel prohlížeče a skener sdílejí kontext, ale jen dokud tento proces zachovává stejný jmenný prostor a stejnou směrovací tabulku. Kontejner nebo servisní účet nemusí dědit to, co vidí interaktivní prohlížeč. Konzole je správní rozhraní, ne skenovací engine.

Kontrola dvě: dokažte trasu a DNS skeneru

Spusťte kontrolu trasy na hostiteli skeneru, ne na notebooku. Zeptejte se jádra, které rozhraní a bránu by použilo pro adresu cíle, a totéž zopakujte pro název hostitele cíle. Trasa, která existuje pro IP, a jméno, které se překládá na jinou adresu, jsou dvě různé závady.

Potvrďte zdrojovou adresu, která se objeví v cíli. Klient VPN může přidělit jinou adresu, než očekává firewall cíle, a zařízení NAT ji může znovu přepsat. Vlastník cíle potřebuje pozorovaný zdroj, ne adresu vytištěnou v profilu VPN.

Zkontrolujte také zpáteční cestu. Skener, který dosáhne cíle, ale nedostává odpovědi, má problém se směrováním nebo firewallem na zpáteční cestě, a to vypadá stejně jako nedostupný cíl.

Kontrola tři: nechte autorizovat rozsah a úhel pohledu

Nechte vlastníka cíle písemně uvést systémy, služby, prostředí, zdroj a časové okno. Rozhodněte, jaký úhel pohledu hodnocení představuje: vnější uživatel VPN, povolený interní klient nebo konkrétní segment skeneru.

Privátní trasa není oprávnění testovat sousední sítě. Držte seznam cílů úzký, uveďte vyloučené systémy a dohodněte podmínky zastavení a kontakt, který dokáže běh zastavit. Skener rád otestuje vše, na co dosáhne, a právě proto musí být rozsah výslovný.

Zapište schválený zdroj do stejného dokumentu. Pokud se pozorovaný zdroj skeneru liší od schváleného, běh nepředstavuje dohodnutý úhel pohledu, i když je seznam cílů správný.

Kontrola čtyři: slaďte přihlašovací údaje s hloubkou hodnocení

Kontrola dostupnosti a autentizované hodnocení jsou různé testy. Odpověď portu dokazuje, že něco odpovědělo; nedokazuje, že proběhly kontroly s přihlašovacími údaji nebo že aplikace účet autorizovala.

Vyhrazené přihlašovací údaje používejte jen tehdy, když dohodnutý rozsah vyžaduje autentizované kontroly. Potvrďte oprávnění a politiku zamykání účtu a rozhodněte, jak budou nálezy ukládány a sdíleny, než je sken vytvoří.

Pokud přihlašovací údaje selžou, nepřecházejte tiše k neautentizovanému běhu a neoznačujte zprávu jako plánované hodnocení. Výsledek je jiný test s jiným významem a tento rozdíl patří do zprávy.

Kontrola pět: uložte plán a pak vědomě spusťte

V pracovním postupu skenování Nessus je volba šablony, konfigurace nastavení a uložení nebo spuštění skenu samostatnými kroky. Využijte toto oddělení k revizi seznamu cílů, zdroje a plánu, než začne jakýkoli provoz.

Než spuštění autorizujete, zkontrolujte, jaký zdroj VPN povoluje, jaký provoz nese a jak se zotavuje z přerušeného tunelu. Nerozšiřujte přístup přes firewall jen proto, že úvodní spojení selhalo; najděte vrstvu, která je odmítla, a opravte ji.

Po běhu zaznamenejte hostitele skeneru, jeho pozorovaný zdroj, seznam cílů a všechny kontroly, které se nepodařilo dokončit. Zpráva vytvořená z jiného zdroje nebo bez zamýšlených přihlašovacích údajů nepředstavuje původní plán, a uvést to je součástí výstupu.

Zrušte přístupy k zakázce a se zachovanými výsledky nakládejte podle dohodnutého postupu. Kontrolní seznam je hotový teprve tehdy, když důkazy odpovídají trase, kterou jste schválili, ne tehdy, když sken jen vrátil výsledky.