Snort στην άκρη του VPN: όπου τα πακέτα είναι ορατά

Ακολουθήστε ένα αίτημα από έναν απομακρυσμένο φορητό υπολογιστή και διασχίζει πολλά όρια προτού οτιδήποτε μπορέσει να το επιθεωρήσει. Το εξωτερικό τούνελ τελειώνει στη διεργασία VPN, το εσωτερικό πακέτο εμφανίζεται σε μια διεπαφή και η συνεδρία HTTPS στο εσωτερικό συνεχίζει προς την εφαρμογή. Ένα εργαλείο επιθεώρησης βλέπει μόνο ό,τι είναι ορατό στο σημείο όπου φτάνουν τα πακέτα. Εγκαταστήστε ένα χωρίς να καθορίσετε αυτό το σημείο και τα αρχεία καταγραφής θα περιγράφουν το λάθος επίπεδο.

Ένα πακέτο διασχίζει πολλά όρια

Πριν από τον τερματισμό του VPN ο παρατηρητής βλέπει μία εξωτερική σύνδεση, συνήθως προς τη θύρα VPN, με διευθύνσεις και μεγέθη αλλά χωρίς εσωτερική δομή. Μετά τον τερματισμό οι εσωτερικές διευθύνσεις, οι θύρες και τα πρωτόκολλα είναι διαθέσιμα σε όποιο σημείο επεξεργασίας τα παραδίδει. Το TLS της ίδιας της εφαρμογής παραμένει κρυπτογραφημένο εκτός αν ένα ξεχωριστό σχέδιο το τερματίσει. Αυτά είναι τρία επίπεδα ορατότητας και το όνομα του πακέτου δεν σας λέει ποιο αγοράσατε.

Σχεδιάστε τη διαδρομή με σημειωμένα τα όρια και μετά τοποθετήστε τον αισθητήρα στη γραμμή όπου μπορεί να απαντηθεί η ερώτηση, γιατί η θέση είναι μέρος της απάντησης. Ένα όριο που δεν μπορείτε να ονομάσετε είναι ένα όριο που δεν μπορείτε να δοκιμάσετε.

Δείτε τι είναι αναγνώσιμο σε κάθε σημείο

Ελέγξτε τη διεπαφή και μια σύντομη καταγραφή πριν εμπιστευτείτε οποιαδήποτε περιγραφή της αρχιτεκτονικής.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Η λίστα συνδέσμων δείχνει τα υπάρχοντα τούνελ και τις φυσικές διεπαφές, και η καταγραφή δείχνει ακριβώς τι θα λάμβανε ένας αισθητήρας συνδεδεμένος εκεί. Αν δείχνει εσωτερικές διευθύνσεις αλλά όχι γραμμές αιτημάτων HTTP, είστε μετά τον τερματισμό του VPN και ακόμη έξω από το TLS της εφαρμογής. Αυτό είναι το κανονικό σημείο για ανίχνευση δικτύου και το λάθος σημείο για επιθεώρηση περιεχομένου. Επαναλάβετε την καταγραφή στην εξωτερική διεπαφή για να συγκρίνετε τι αποκαλύπτει το άλλο όριο.

Η παθητική ανίχνευση δεν μπορεί να αποκλείσει μόνη της

Η τεκμηρίωση επιθεώρησης του Snort διαχωρίζει την παθητική παρατήρηση από τη λειτουργία εντός γραμμής. Η παθητική λειτουργία μπορεί να ειδοποιεί για την κίνηση χωρίς να τη σταματά σε εκείνη τη διαδρομή.

snort -T -c /etc/snort/snort.lua

Η λειτουργία δοκιμής επικυρώνει τη διαμόρφωση χωρίς να εκτελεί τον αισθητήρα, που είναι το σωστό πρώτο βήμα πριν από οποιαδήποτε ανάπτυξη. Η λειτουργία εντός γραμμής απαιτεί συμβατή διάταξη λήψης πακέτων και αντίστοιχη διαμόρφωση επιβολής, όχι απλώς μια πρόσθετη επιλογή. Επομένως μια εγγραφή στο αρχείο καταγραφής δεν είναι απόδειξη ότι ένα αίτημα εμποδίστηκε, και μια διεργασία που ξεκίνησε με επιλογή που μοιάζει εντός γραμμής δεν αποδεικνύει ότι η πραγματική προωθημένη ροή περνά μέσα από αυτήν. Επιβεβαιώστε πού η υλοποίηση παραδίδει πραγματικά τα πακέτα.

Επιλέξτε τη λειτουργία επιβολής πριν από την ανάπτυξη

Αποφασίστε αν η απαίτηση είναι ορατότητα ή πρόληψη, γιατί οι δύο έχουν διαφορετική συμπεριφορά αποτυχίας. Ένας παθητικός αισθητήρας που πεθαίνει αφήνει την κίνηση να ρέει και δημιουργεί κενό παρακολούθησης· μια συσκευή εντός γραμμής που πεθαίνει μπορεί είτε να επιτρέψει την κίνηση είτε να τη σταματήσει, και αυτή η επιλογή πρέπει να είναι σκόπιμη. Συμφωνήστε σε μία επιτρεπόμενη ροή, μία ροή που πρέπει να απορρίπτεται και τη συμπεριφορά που θέλετε όταν αποτυγχάνει ο αισθητήρας. Κρατήστε την ανάκτηση διαχείρισης χωριστά από τη διαδρομή που επιθεωρείται, ώστε ένα λάθος στον αισθητήρα να μην αφαιρέσει και την πρόσβασή σας.

Στη συνέχεια καταγράψτε την ορατή κίνηση, το σημείο επεξεργασίας και τη συμπεριφορά επιβολής. Αυτά τα τρία γεγονότα, όχι το εγκατεστημένο πακέτο, περιγράφουν τι κάνει πραγματικά η ανάπτυξη.