Lüüs või edastatud klient? Lähteaadressi lugemine

Veebiserver logib ühe aadressi ja kõik eeldavad, et see kuulub lüüsi enda protsessile. See võib kuuluda edastatud kliendile, kelle privaatne aadress kadus tõlkimise sammul. Sihtkoht näeb nähtavat võrgu lähtet ja mitte midagi enamat. See on piiri väide, mitte väide, et päritolu ei saa kunagi kindlaks teha.

Mida sihtkoht tegelikult näeb

Võtke klient aadressil 10.20.0.7, lüüs välisaadressiga 198.51.100.10 ja sihtkoht internetis. Kui lüüs tõlgib kliendi lähte, logib sihtkoha sokkel 198.51.100.10. Privaatne aadress kaob paketist ja sihtkoht ei saa seda sellest päisest tagasi lugeda. Need numbrid on illustratiivsed, mitte teie võrgust tehtud salvestus.

Vaatlus on siiski kasulik: see tuvastab võrgu lähte, mille sihtkoht peab lubama või blokeerima. See lihtsalt ei tuvasta inimest ega protsessi selle taga. Sihtkoha operaatori jaoks otsustab see eristus, kas blokeering on võrguotsus või konto otsus.

Tõlke olek ei ole sihtkohale nähtav

Lüüs hoiab vastendust tõlgitud ühenduse ja algse kliendi vahel ning just seda olekut sihtkohal puudu on. traditsiooniline NAT-i kirjeldus eraldab tõlkekirje päisest, mis on hiljem nähtav. Ühe poole lugemine ei anna teist.

Erinevad lahendused annavad erinevaid tõendeid. Marsruuditud liiklus säilitatud lähteaadressidega näitab kliendi tegelikku aadressi, samas kui rakenduse puhverserver lõpetab ühenduse ja loob uue. Säilitatud lähtega marsruut nõuab ka seda, et kliendi aadress oleks sihtkohast tagasi marsruuditav, mida iga juurutus ei paku. Enne logirea tõlgendamist küsige, milline lahendus on juurutatud.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL ja sõrmejäljed on vihjed, mitte tõendid

IPv4 TTL sõltub saatja valitud algväärtusest ja paketi läbitud hüpete arvust. Ilma mõlema faktita ei saa väärtus tõestada, et VPN-i hüpe toimus. Tuntud täiendav marsruuditud hüpe ei suuda samuti eristada LAN-marsruuterit, tunneliteed ega muud edastuskorraldust. Käsitlege TTL-i erinevust küsimusena, mitte järeldusena.

Teised signaalid käituvad samamoodi. User-Agent päise võib seada rakendus ja ajaline sarnasus võib peegeldada jagatud taristut, mitte jagatud inimest. Mitu kasutajat võivad jagada üht väljapääsu ja üks kasutaja võib seansside vahel teed muuta. Koos kogutuna võivad mitmed nõrgad signaalid õigustada lähemat pilku lüüsi kirjetele, kuid kuhjumise teel ei muutu need tugevateks tõenditeks.

Autoriseerige identiteedi, mitte aadressi järgi

Kui sihtkoht peab eraldama lüüsi haldamise kaugkasutajate tegevusest, andke neile rollidele eraldi autenditud identiteedid ja lubatud toimingud. Jagatud avalik lähe võib endiselt toimida võrgupiiranguna, kuid see ei asenda kasutaja ega seadme autentimist.

Hoidke tõendid märgistatud: vaadeldud lähe, autenditud konto, aeg ja vaadeldav järeldus. Ärge tõlkige „siin pole sisemist lähet näha“ kui „mistahes kohas pole atributsioon võimalik“. Märgistus loeb, kui inimene, kes ei osalenud uurimises, loeb kirjet kuid hiljem.

Registreerige vaatluse kuupäev ja süsteem, mis selle tekitas. Atributsioonita logiväljavõtet on hiljem raske kaitsta.