Snort na okraji VPN: kde jsou pakety viditelné

Sledujte jeden požadavek ze vzdáleného notebooku a než jej cokoli může zkontrolovat, projde několika hranicemi. Vnější tunel končí v procesu VPN, vnitřní paket se objeví na rozhraní a relace HTTPS uvnitř pokračuje k aplikaci. Nástroj pro inspekci vidí jen to, co je vidět v bodě, kam se k němu pakety dostanou. Nainstalujte jej, aniž byste tento bod určili, a záznamy budou popisovat špatnou vrstvu.

Jeden paket prochází několika hranicemi

Před ukončením VPN pozorovatel vidí jedno vnější spojení, obvykle na port VPN, s adresami a velikostmi, ale bez vnitřní struktury. Po ukončení jsou vnitřní adresy, porty a protokoly dostupné v tom bodě zpracování, který je předává. Vlastní TLS aplikace zůstává šifrované, pokud je neukončí samostatný návrh. To jsou tři úrovně viditelnosti a název balíčku vám neřekne, kterou jste koupili.

Nakreslete cestu s vyznačenými hranicemi a potom umístěte senzor na linii, kde lze na otázku odpovědět, protože poloha je součástí odpovědi. Hranice, kterou nedokážete pojmenovat, je hranice, kterou nedokážete otestovat.

Podívejte se, co je v každém bodě čitelné

Zkontrolujte rozhraní a krátký záznam, než uvěříte jakémukoli popisu architektury.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Seznam odkazů ukazuje existující tunelová a fyzická rozhraní a záznam ukazuje přesně to, co by senzor připojený na tomto místě dostal. Pokud ukazuje vnitřní adresy, ale žádné řádky požadavků HTTP, jste po ukončení VPN a stále mimo TLS aplikace. To je obvyklé místo pro síťovou detekci a špatné místo pro inspekci obsahu. Zopakujte záznam na vnějším rozhraní a porovnejte, co odhaluje druhá hranice.

Pasivní detekce sama blokovat nemůže

Dokumentace Snortu k inspekci odděluje pasivní pozorování od provozu v cestě. Pasivní režim může na provoz upozornit, aniž by jej na této cestě zastavil.

snort -T -c /etc/snort/snort.lua

Testovací režim ověřuje konfiguraci bez spuštění senzoru, což je správný první krok před jakýmkoli nasazením. Provoz v cestě vyžaduje kompatibilní uspořádání sběru paketů a odpovídající konfiguraci vynucení, ne jen další přepínač. Záznam v logu tedy není důkazem, že požadavku bylo zabráněno, a proces spuštěný s volbou vypadající jako provoz v cestě nedokazuje, že skutečný předávaný tok prochází přes něj. Ověřte, kde implementace pakety skutečně předává.

Před nasazením zvolte režim vynucení

Rozhodněte, zda je požadavkem viditelnost, nebo prevence, protože obojí nese jiné chování při selhání. Pasivní senzor, který přestane fungovat, nechá provoz plynout a vytvoří mezeru v monitorování; zařízení v cestě, které přestane fungovat, může provoz propustit nebo zastavit, a tato volba musí být záměrná. Dohodněte se na jednom povoleném toku, jednom toku, který musí být odmítnut, a chování, které chcete při selhání senzoru. Udržujte obnovu správy oddělenou od inspektované cesty, aby chyba v senzoru neodebrala i váš přístup.

Potom zaznamenejte viditelný provoz, bod zpracování a chování vynucení. Tyto tři skutečnosti, ne nainstalovaný balíček, popisují, co nasazení skutečně dělá.