So erkennen Sie, welche Adresse der FTP-Server tatsächlich protokolliert

Eine Logzeile zeigt eine Adresse. Der Laptop trägt eine Tunneladresse, die Verbindung kann über einen anderen Ausgang verlassen, und die Browserprüfung, die Sie durchgeführt haben, beweist nichts über FTP. Alle drei können sich unterscheiden, und die Logzeile zeichnet immer nur eine davon auf. Legen Sie fest, nach welcher Verbindung Sie fragen, bevor Sie irgendetwas vergleichen..

Diese Schritte setzen eine autorisierte Untersuchung mit einem definierten Zeitfenster voraus, nicht einen Rundgang durch fremde Übertragungen..

1. Legen Sie fest, nach welcher Verbindung Sie fragen

FTP verwendet zwei Verbindungen. Die Kontrollverbindung trägt Befehle und Antworten, die Datenverbindung trägt die Datei selbst. Ein Login-Ereignis gehört zur ersten, ein Übertragungsereignis zur zweiten, daher kann eine Sitzung in einem Log Beobachtungen aus zwei verschiedenen Netzwerkpfaden enthalten. Notieren Sie, zu welchem Ereignis das Adressfeld gehört, bevor Sie Schlüsse daraus ziehen..

Die Aufteilung hat eine praktische Folge. Eine Login-Zeile und eine Übertragungszeile aus derselben Sitzung können zwei verschiedene Quelladressen tragen, daher ist es eine Vermutung darüber, welche Verbindung Sie lesen, wenn Sie eine davon als „die Client-Adresse“ zitieren. Prüfen Sie den Ereignistyp, bevor Sie eine Adresse mit irgendetwas abgleichen..

2. Verfolgen Sie die Kontrollverbindung

Starten Sie den Client mit aktivierter Debug-Ausgabe oder zeichnen Sie auf dem Client auf, während er sich verbindet, und notieren Sie den Peer, den er tatsächlich erreicht. Wenn ein VPN aktiv ist und der Client darüber läuft, sieht der Server die VPN-Ausgangsadresse und nicht die Zugangsnetzadresse des Laptops.

Wenn der Client den Tunnel umgeht, sieht der Server die Zugangsadresse, und die eigene Adresse der VPN-Schnittstelle erscheint nie auf der Leitung. Deshalb ist die Tunneladresse des Laptops meist der am wenigsten nützliche Wert im Bild: Sie existiert nur innerhalb des Tunnels. Verwenden Sie ss oder einen Paketmitschnitt, um die Quelle zu bestätigen, die der Client präsentiert, statt sie von einem Konfigurationsbildschirm abzulesen..

Zwei Befehle decken das meiste ab:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Der erste listet die lokalen und die Peer-Endpunkte auf, die Ihr eigener Stack verwendet hat. Der zweite zeigt die Adressen, die auf der Leitung stehen, was der Sicht des Servers näher kommt, aber immer noch an Ihrer Schnittstelle endet, sodass nur das Server-Log oder dessen eigener Mitschnitt zeigt, was der Server aufgezeichnet hat..

3. Prüfen Sie, ob die Datenverbindung übereinstimmt

Im passiven Modus teilt der Server dem Client mit, wohin er sich verbinden soll, und im aktiven Modus verbindet sich der Server zurück zu einer Adresse, die der Client geliefert hat. Beide Modi können die Datenverbindung woandershin schicken als die Kontrollverbindung, wenn eine Übersetzung oder ein Proxy im Pfad liegt. Bestätigen Sie den Modus aus dem Client-Log und prüfen Sie dann, ob die Datenverbindung denselben Pfad verwendet hat..

Eine Übertragung, die von einer anderen Adresse als dem Login protokolliert wird, ist eine echte Beobachtung und kein beschädigter Datensatz, und sie sagt meist etwas über den Pfad..

4. Bitten Sie den Betreiber um einen eng gefassten Datensatz

Geben Sie dem Serverbetreiber die Sitzungszeit mit Zeitzone, das Konto, den Vorgang und das Ziel. Fragen Sie, welche Verbindung das Adressfeld erzeugt hat und ob ein vertrauenswürdiger Vermittler seine Bedeutung ändert..

Lesen Sie das tatsächliche Schema dieses Servers, statt anzunehmen, dass jedes Produkt den ursprünglichen Client, den Kontroll-Peer und den Daten-Peer getrennt aufzeichnet, denn manche fassen eine ganze Sitzung in einer Zeile zusammen. Halten Sie auch das Protokoll klar: SFTP ist ein SSH-basiertes Protokoll und nicht FTP auf einem anderen Port, und FTPS fügt FTP TLS hinzu, daher hängt die Dienstidentität im Log davon ab, welches Sie bereitgestellt haben..

5. Prüfen Sie, bevor Sie zuordnen

Eine Ausgangsadresse kann vielen Kunden dienen, und ein Konto kann von mehreren erlaubten Quellen aus verwendet werden, daher identifizieren eine Adresse und ein Benutzername nicht dieselbe Einheit. Protokollierung ist eine Serverrichtlinie: Ein VPN ändert die Quelle, die eine Verbindung präsentiert, aber es löscht nicht den Kontonamen, den Dateinamen oder den Vorgang, den der empfangende Dienst verarbeitet hat. Ordnen Sie nur zu, was der Datensatz zeigt, und markieren Sie den Rest als unbekannt. Die WinSCP-Beschreibung für FTP ist eine kompakte Referenz für das Zwei-Verbindungs-Modell, wenn Sie es jemandem erklären müssen..

Zwei gewöhnliche Fälle zeigen, warum das zählt. Ein Büro kann jeden Benutzer über eine einzige Ausgangsadresse hinausschicken, sodass hundert Personen einen einzigen Wert im Log erzeugen. Das Umgekehrte passiert genauso oft: Ein Konto verbindet sich in derselben Woche von einer Heimleitung und von einer Büroleitung, und beide Einträge beschreiben dieselbe Person..