Εισερχόμενη ειδοποίηση σε διακομιστή VPN: διαβάστε το σημείο παρατήρησης

Ένας διακομιστής πίσω από VPN διατηρεί τις δημόσιες καταχωρίσεις υπηρεσιών του και οι άνθρωποι συνεχίζουν να τις βρίσκουν. Αυτό που φτάνει στην ουρά ειδοποιήσεων δεν είναι ένα εύρημα αλλά τρία πιθανά, και σημαίνουν διαφορετικά πράγματα. Πρώτο έργο είναι να ξεχωρίσουμε μια εκτεθειμένη υπηρεσία από ένα εκτεθειμένο διαπιστευτήριο.

Δουλέψτε τα σημεία παρατήρησης με τη σειρά. Σταματήστε όταν τα στοιχεία αλλάζουν κατηγορία, γιατί το επόμενο στάδιο απαντά σε διαφορετικό ερώτημα.

Πρώτο στάδιο: τι είδε πραγματικά η σύλληψη

Μια σύλληψη πακέτων καταγράφει τι ήταν ορατό στο δικό της σημείο πάνω στη διαδρομή. Το σημείο αυτό μπορεί να βρίσκεται πριν από μια μεταγενέστερη απόφαση φιλτραρίσματος. Ένα πακέτο που συνελήφθη αποδεικνύει ότι η κίνηση έφτασε εκεί. Δεν αποδεικνύει τίποτα για το τι συνέβη μετά.

Προσέξτε και τη διεπαφή. Μια σύλληψη στον δημόσιο προσαρμογέα και μια σύλληψη μέσα στη σήραγγα περιγράφουν διαφορετικά σημεία άφιξης, και μια ειδοποίηση που παραθέτει το λάθος οδηγεί σε λάθος συμπέρασμα.

Τα Windows φιλτράρουν επίσης σε πολλά επίπεδα της στοίβας, οπότε το τακτοποιημένο μοντέλο όπου το εργαλείο σύλληψης βρίσκεται στο επίπεδο δύο και το τείχος προστασίας στο επίπεδο τρία δεν επιβιώνει από την επαφή με ένα πραγματικό προϊόν. Η επισκόπηση του Windows Filtering Platform περιγράφει φιλτράρισμα σε επίπεδα της στοίβας, και γι' αυτό η σειρά παρατήρησης πρέπει να τεκμηριώνεται αντί να υποτίθεται.

Δεύτερο στάδιο: τι αποδεικνύει η εγγραφή απόρριψης

Μια εγγραφή απόρριψης λέει ότι ένα όριο πολιτικής απέκλεισε αυτό το πακέτο. Είναι ισχυρή απόδειξη. Είναι και στενή απόδειξη, γιατί καλύπτει μία απόφαση σε ένα όριο. Τίποτε άλλο στη στοίβα δεν περιγράφεται από αυτήν.

Συσχετίστε με την πλειάδα και τη χρονική σφραγίδα. Ίδια πηγή, ίδιος προορισμός, ίδια θύρα, μέσα στο ίδιο δευτερόλεπτο. Χωρίς αυτή την αντιστοιχία, ένα φαινομενικά παρόμοιο γεγονός σε άλλο αρχείο καταγραφής είναι απλώς άλλο γεγονός, και ο συνδυασμός τους παράγει μια ιστορία που κανείς δεν μπορεί να υπερασπιστεί.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Μια κλειστή θύρα και ένα απορριφθέν πακέτο φαίνονται ίδια από έξω και εντελώς διαφορετικά σε αυτές τις δύο εξόδους. Αυτή η διαφορά είναι ο λόγος να διαβάσει κανείς την τοπική εγγραφή.

Τρίτο στάδιο: τι αποδεικνύει το γεγονός ταυτοποίησης

Ένα γεγονός ταυτοποίησης λέει ότι ένα στοιχείο επεξεργάστηκε το αίτημα αρκετά ώστε να καταγράψει αποτέλεσμα. Είναι το μόνο από τα τρία στάδια που μιλά για ταυτότητα, και δεν λέει τίποτα για το πόσα πακέτα έφτασαν πριν από αυτό.

Διαβάστε το πραγματικό πλαίσιο του γεγονότος. Μια αποτυχημένη σύνδεση για λογαριασμό που δεν υπάρχει είναι θόρυβος από σάρωση. Μια αποτυχημένη σύνδεση για πραγματικό λογαριασμό από πιθανή πηγή είναι άλλη προτεραιότητα. Μια επιτυχημένη συνεδρία είναι εντελώς άλλη κατηγορία περιστατικού.

Προσέξτε και τα ονόματα των πρωτοκόλλων. Τα RPC και RDP είναι ξεχωριστές υπηρεσίες με ξεχωριστές θύρες. Ένας ανιχνευτής που παρακολουθεί το ένα δεν καλύπτει το άλλο. Εργαλεία που συνοψίζουν τη δραστηριότητα δικτύου δεν δηλώνουν πάντα ποιο από τα δύο παρήγαγε το γεγονός.

Ένα συσχετισμένο δείγμα νικά έναν πίνακα ελέγχου

Διαλέξτε μία εξουσιοδοτημένη δοκιμή, εκτελέστε την επίτηδες και παρακολουθήστε την από άκρη σε άκρη: διεύθυνση προορισμού και διεπαφή, πραγματική διεύθυνση πηγής, θύρα υπηρεσίας, ενεργό προφίλ και κανόνας τείχους προστασίας και το αντίστοιχο αποτέλεσμα υπηρεσίας. Συμπεριλάβετε οποιαδήποτε αντιστοίχιση ανάντη ή τείχος προστασίας νέφους σε αυτή την αλυσίδα, γιατί ένας κανόνας που επιτρέπει εκεί μπορεί να υπερισχύσει ενός τακτοποιημένου τοπικού.

Έπειτα χωρίστε τις δύο υποχρεώσεις. Αν η διαχείριση πρέπει να γίνεται μόνο μέσω VPN, επιβάλετέ το και στη δημόσια διαδρομή και στη διαδρομή της σήραγγας, κρατώντας μια εγκεκριμένη διαδρομή ανάκτησης. Η παρακολούθηση μιας απορριφθείσας απόπειρας δεν είναι το ίδιο έργο με την απόφαση τι πρέπει να δέχεται ο διακομιστής.

Ένας κανόνας γεωγραφίας ή ένα αποκλεισμένο άσχετο πρωτόκολλο δεν υποκαθιστά την εύρεση της παρατηρούμενης εισόδου και της απόφασης που έλαβε. Ούτε ένα VPN το κάνει: η δρομολόγηση εξερχόμενης κίνησης μέσα από σήραγγα δεν τεκμηριώνει τίποτα για την εισερχόμενη εξουσιοδότηση.