RDP mění klienta: proč databáze vidí jiný host

Vaše pravidlo VPN databázi zakazuje a tiket se uzavře jako závada firewallu, zatímco stejný uživatel otevře publikovanou plochu a bez potíží se na tu databázi dotáže. Obě tvrzení jsou pravdivá. Plocha je jiný klient, má vlastní adresu v segmentu, kterému pravidla už důvěřují, a vlastní identitu, když se připojuje dál. Co vypadá jako protichůdné pravidlo, bývá druhý požadavek, který nikdo nedal do revize.

Druhý požadavek má vlastní adresu klienta

Když aplikace uvnitř relace otevře spojení do databáze, TCP handshake začíná na hostiteli relace. Jeho zdrojová adresa patří síti tohoto hostitele, takže každý router a firewall databáze na cestě vyhodnocuje segment plochy, nikoli fond tunelů, ze kterého přišel váš notebook. Adresa VPN se v tom toku nikdy neobjeví. Proto může být pravidlo zakazující podle zdroje zároveň správné a nepodstatné.

Čtěte původ zevnitř relace, ne z notebooku, a pak otestujte další cestu ze stejného místa. Obě odpovědi by se měly shodnout na tom, který hostitel požadavek posílá.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Porovnejte, co relace hlásí, s adresou, kterou databáze zaznamenala pro stejný čas. Když log serveru ukáže podsíť plochy místo fondu tunelů, otázka přestává být, zda pravidlo zabralo, a stává se, který hostitel požadavek učinil. To je jiné vyšetřování s jiným vlastníkem.

Identita se mění stejně jako adresování

Navazující spojení se obvykle autentizuje tokenem relace, uloženým pověřením nebo servisním účtem aplikace a zdroj si zaznamená, co mu bylo dáno. Auditní stopa se servisním účtem u databáze tedy nedokazuje, že dotaz spustil člověk. Neidentifikuje ani toho člověka. Jen vlastní log relace plochy spojuje tyto dva záznamy.

Autorizace probíhá dvakrát a druhé rozhodnutí se dělá s jinými vstupy. První uděluje přihlášení k ploše konkrétnímu uživateli, druhé uděluje to, co token tohoto uživatele nebo účet aplikace smí se zdrojem udělat. Skupina helpdesku, která smí otevřít plochu, není automaticky skupinou, která smí číst tabulku zákazníků.

Podívejte se na token a cestu delegování, než napíšete poznámku o přístupu. Obojí je vidět zevnitř relace a to je jediné místo, kde odpověď není odhad.

whoami /groups
klist
query session

Pokud aplikace používá servisní účet, rozhodují dál jeho práva. Rotace tohoto pověření patří do revize přístupu, ne do provozní úvahy později.

Proč je přímá cesta stále správně zablokovaná

Pravidlo zákazu není špatné jen proto, že cíl je dostupný jinudy. Segmentace se vyhodnocuje podle zdroje a plocha sedí v segmentu, který byl povolen dávno předtím, než ho někdo začal považovat za cestu do databáze. Nic politiku neobeslo. Politika jen popisuje dva různé zdroje se dvěma různými výsledky.

Revize musí odpovědět, co může spustit každá autorizovaná relace na tomto hostiteli. Prohlížeče s uloženými relacemi, mapované disky, agenti držící pověření a lokálně naslouchající služby všechny rozšiřují dosah plochy a žádný z nich se neobjeví v tiketu, který přihlášení udělil. Ten inventář je skutečná plocha oprávnění.

Vyjmenujte ho zevnitř testovací relace, ne z tabulky. Hrstka příkazů pokryje většinu plochy.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Zvolte hranici vědomě

Tři tvary se hodí k různým úlohám a volba má sledovat úlohu, ne nástroj, který náhodou existuje. Publikovaná aplikace vystavuje jeden program s vlastními oprávněními, plná plocha vystavuje vše, co profil uživatele umí, a úzký účet databáze s omezením zdroje vystavuje jeden zdroj zcela bez plochy. Nejužší tvar, který práci ještě dokončí, je ten, který se má zdokumentovat. Cokoli širšího potřebuje důvod napsaný vedle.

Pro jediný report je publikovaná aplikace nebo omezený účet menší povolení než obecná plocha. Pro údržbu, která opravdu potřebuje několik nástrojů, může být plocha správná, ale pak schválení popisuje celého hostitele, ne jednu aplikaci. Zeptejte se vlastníka zdroje, s čím z toho souhlasí.

Pohyb dat je samostatný přepínač. Schránka, přesměrování disků a stahování mohou přenést firemní data ke klientovi a spuštění aplikace na dálku samo o sobě data na dálku neudrží.

Zkontrolujte obě schválení a cestu odebrání

Do záznamu patří dvě schválení: právo dosáhnout a otevřít plochu a právo používat zdroje zevnitř ní. Jmenujte vlastníka pro každé a druhé držte viditelné pro každého, kdo zdroj reviduje. Právě na druhý záznam se auditor zeptá, protože popisuje dosah, ne vstup. Napište oba dřív, než se změna schválí, ne po prvním incidentu.

Potom otestujte odebrání, protože odpojená relace může přežít důvod, pro který existovala. Tabulka relací je nejrychlejší místo, kde vidět, co ještě běží.

query session
query user
qwinsta /server:rdsh01.corp.internal

Odpojení klienta nechá vzdálenou relaci běžet a její síťová spojení i uložená pověření mohou zůstat použitelná, dokud relace neskončí. Odhlaste se nebo relaci výslovně ukončete a potvrďte, že se následný čítač přestal posouvat. Test odebrání, který jen zavře víko notebooku, nic nedokazuje. Spusťte stejný test jednou s vypnutým účtem a jednou s odebraným oprávněním k ploše, pak zapište, co zdroj v každém případě zalogoval.