Upozornění na přihlášení VPN nejsou upozornění na průnik: sledujte relaci
Neobvyklé přihlášení je podnět k revizi, ne rozsudek. Propojte záznam o autentizaci s relací a potom s tím, čeho se relace dotkla, než to nazvete průnikem.
Upozornění VPN, které se spustí na novou zemi, působí konečně a obvykle konečné není. Autentizace říká, že pokus byl přijat; relace říká, které spojení ho neslo; záznamy o prostředcích říkají, co se uvnitř toho spojení stalo. Každý odpovídá na jinou otázku. Pravidlo, které všechny tři slije, vyrobí v pondělí třicet tiketů a v pátek skutečný případ mine.
Cizí adresa je otázka, ne odpověď
Cestování, mobilní operátoři s výstupem v jiné zemi, firemní webová proxy a přeřazený pool carrier-grade NAT posouvají zdánlivý zdroj, aniž by posouvaly útočníka. Záznam o přihlášení odráží, kudy spojení vstoupilo do sítě, ne kdo držel zařízení.
Opačné selhání je horší, protože je tiché. Ukradené heslo použité z města samotného uživatele vytvoří přihlášení, které v geografické kontrole odpovídá všem předchozím přihlášením.
Považovat geografii za rozsudek má měřitelnou cenu. Přenosné počítače na cestách vytvářejí stálý proud revizí, revizoři se učí je zavírat bez čtení a zvyk vydrží, dokud do stejné fronty nedorazí skutečný případ.
Tři typy záznamů odpovídají na tři různé otázky
Začněte tím, co nasazené produkty skutečně vydávají, ne tím, co brožura naznačuje, že by vydávat mohly. Rozhodnutí o autentizaci pojmenovává tvrzenou identitu, metodu a výsledek. Životní cyklus relace pojmenovává spojení, bránu a přidělenou adresu, od začátku do zastavení.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Prázdná buňka je mezera ve sběru, ne osvobození. Pokud záznamy o prostředcích nikdy nedorazí, nepřítomnost podezřelého čtení znamená, že pipeline nemá co hlásit, a tichý panel popisuje pipeline, ne síť. Zapište, které záznamy nasazení skutečně produkuje, než slíbíte pravidlo, které na nich závisí, a pojmenujte vlastníka každého chybějícího zdroje.
Účetní podrobnosti jsou místem, kde se relace stávají ověřitelnými. Účtování RADIUS popsané v RFC 2866 nese začátek, konec a průběžné aktualizace vázané na identifikátor relace, takže relace se začátkem a bez konce je mezera, kterou můžete pojmenovat, místo záhady.
Spojujte podle relace, ne podle uživatelského jména
Jeden účet legitimně drží několik relací najednou: notebook, telefon, laboratorní stroj ponechaný přes noc připojený. Spojení všech událostí pro toto uživatelské jméno slije tři zařízení do jednoho příběhu a kombinaci pak čte jako kompromitaci. Přidělené adresy se také recyklují, takže spojení, které po skončení relace dál odpovídá adrese, vtáhne zařízení z minulého měsíce do dnešního incidentu. Uchovejte klíč relace vedle adresy a omezte shodu na časové okno, které relace skutečně pokrývala.
Tam, kde překlad odstraní původní zdroj dřív, než ho služba uvidí, použijte identitu, která na této hranici přežije, například subjekt vzájemného TLS nebo tvrzení jednotného přihlášení. Vymýšlet vzájemně jednoznačné mapování mezi adresou a osobou je stejná chyba s kroky navíc.
Upozornění bez vlastníka je panel
Každé pravidlo potřebuje podmínku, neškodná vysvětlení, která ho vyvolávají, důkazy, které je třeba vytáhnout, a osobu, která jedná. Opakovaná zamítnutá administrativní operace, nával neúspěšných hesel a mlčící kolektor jsou tři různé incidenty se třemi různými hodinami.
Oznámení není omezení a distribuční seznam nic neomezuje. Změna živé relace vyžaduje komponentu, která to umí, ať už bránu, která spojení shodí, nebo poskytovatele identity, který relaci odvolá. Zastaralé zdroje a chybějící záznamy o zastavení patří také do textu pravidla, protože kolektor, který den nic neposlal, vypadá z panelu přesně jako tichá síť. Rozdíl je vidět jen v samotné pipeline.
Zkontrolujte cestu sběru, než uvěříte tichému týdnu
Dokažte pipeline od začátku do konce, než naladíte jediné pravidlo. Níže uvedené příkazy potvrzují, že posluchače autentizace a účtování běží, že testovací pověření je odmítnuto ze správného důvodu a že události relací stále přicházejí:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Odmítnutí přístupu z testu dokazuje, že požadavek dorazil na server a sdílené tajemství odpovídalo, a to je část, kterou lidé přeskakují. Vypršení místo toho ukazuje na tajemství, posluchač nebo filtr před ním, a každé upozornění níže je neověřitelné, dokud se to neopraví.
Stav hodin je důležitý, protože korelační okna předpokládají shodu. Brána odchýlená o minuty dělá jinak čisté spojení relace nemožným, a revizoři to kompenzují rozšiřováním okna, dokud spojení přestane rozlišovat. Zkontrolujte odchylku, než pravidlo upravíte.
Potom prožeňte jedno pravidlo neškodným testem: vygenerujte přihlášení z neočekávané adresy, potvrďte, že se upozornění spustí, potvrďte, že reagující osoba může vytáhnout relaci a její události o prostředcích, a potvrďte, že tiket nese identifikátor relace. Pravidlo, které vytvoří souvislý příběh, projde. Pravidlo, které vytvoří hromadu řádků logu, je pořád panel. Zapište výsledek k pravidlu, aby příští revize začínala u důkazů, ne u intuice.