Snort ved VPN-kanten: hvor pakkerne er synlige

Følg en enkelt anmodning fra en fjern laptop, og den krydser flere grænser, før noget kan inspicere den. Den ydre tunnel slutter i VPN-processen, den indre pakke vises på en grænseflade, og HTTPS-sessionen indeni fortsætter til applikationen. Et inspektionsværktøj ser kun det, der er synligt på det punkt, hvor pakkerne når det. Installer et uden at beslutte det punkt, og logfilerne beskriver det forkerte lag.

Én pakke krydser flere grænser

Før VPN-terminering ser observatøren én ydre forbindelse, typisk til VPN-porten, med adresser og størrelser, men uden indre struktur. Efter termineringen er de indre adresser, porte og protokoller tilgængelige på det behandlingspunkt, der overdrager dem. Applikationens egen TLS forbliver krypteret, medmindre et separat design terminerer den. Det er tre synlighedsniveauer, og et pakkenavn fortæller dig ikke, hvilket du har købt.

Tegn forløbet med grænserne markeret, og placer derefter sensoren på den linje, hvor spørgsmålet kan besvares, fordi placeringen er en del af svaret. En grænse, du ikke kan navngive, er en grænse, du ikke kan teste.

Se, hvad der kan læses på hvert punkt

Kontroller grænsefladen og en kort optagelse, før du stoler på nogen beskrivelse af arkitekturen.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Linklisten viser de tunnel- og fysiske grænseflader, der findes, og optagelsen viser præcis, hvad en sensor tilsluttet der ville modtage. Hvis den viser indre adresser, men ingen HTTP-anmodningslinjer, er du efter VPN-termineringen og stadig uden for applikationens TLS. Det er det normale sted for netværksregistrering og det forkerte sted for indholdsinspektion. Gentag optagelsen på den ydre grænseflade for at sammenligne, hvad den anden grænse afslører.

Passiv registrering kan ikke blokere alene

Snorts inspektionsdokumentation adskiller passiv observation fra drift i linjen. Passiv tilstand kan advare om trafik uden at stoppe den på den vej.

snort -T -c /etc/snort/snort.lua

Testtilstand validerer konfigurationen uden at køre sensoren, hvilket er det rigtige første skridt før enhver udrulning. Drift i linjen kræver et kompatibelt arrangement til pakkeoptagelse og en matchende håndhævelseskonfiguration, ikke bare et ekstra flag. En logpost er derfor ikke bevis på, at en anmodning blev forhindret, og en proces startet med en indstillingsmulighed, der ligner drift i linjen, beviser ikke, at den reelle videresendte strøm passerer igennem den. Bekræft, hvor implementeringen faktisk overdrager pakker.

Vælg håndhævelsestilstanden før udrulning

Beslut, om kravet er synlighed eller forebyggelse, fordi de to har forskellig adfærd ved fejl. En passiv sensor, der dør, lader trafikken fortsætte og skaber et overvågningshul; en enhed i linjen, der dør, kan enten slippe trafik igennem eller stoppe den, og det valg skal være bevidst. Bliv enige om én tilladt strøm, én strøm der skal afvises, og den adfærd, du ønsker, når sensoren fejler. Hold gendannelse af styring adskilt fra den inspicerede vej, så en fejl i sensoren ikke også fjerner din adgang.

Registrer derefter den synlige trafik, behandlingspunktet og håndhævelsesadfærden. De tre fakta, ikke den installerede pakke, beskriver, hvad udrulningen faktisk gør.