Sissetulev hoiatus VPN-serveril: lugege vaatluspunkti

VPN-i taga olev server hoiab oma avalikke teenusekirjeid ja inimesed leiavad neid ikka. Hoiatuste järjekorda ei jõua üks leid, vaid kolm võimalikku, ja need tähendavad erinevaid asju. Esimene ülesanne on eraldada avatud teenus avatud mandaadist.

Käige vaatluspunktid järjekorras läbi. Peatuge, kui tõendid muudavad kategooriat, sest järgmine etapp vastab teisele küsimusele.

Esimene etapp: mida salvestus tegelikult nägi

Paketisalvestus registreerib, mis oli nähtav selle enda punktis teel. See punkt võib asuda hilisema filtreerimisotsuse ees. Salvestatud pakett tõestab, et liiklus jõudis sinna. See ei tõesta midagi selle kohta, mis juhtus pärast.

Pöörake tähelepanu ka liidesele. Salvestus avalikul adapteril ja salvestus tunnelis sees kirjeldavad erinevaid saabumispunkte, ja hoiatus, mis tsiteerib vale neist, viib vale järelduseni.

Windows filtreerib ka mitmes virna kihis, nii et korrektne mudel, kus salvestusvahend asub teises kihis ja tulemüür kolmandas, ei pea vastu tõelise tootega kokku puutudes. Windows Filtering Platformi ülevaade kirjeldab filtreerimist üle virna kihtide ja seetõttu tuleb vaatlusjärjekord kindlaks teha, mitte eeldada.

Teine etapp: mida tõrjumiskirje kinnitab

Tõrjumiskirje ütleb, et poliitika piir lükkas selle paketi tagasi. See on tugev tõend. See on ka kitsas tõend, sest katab ühe otsuse ühel piiril. Midagi muud virnas ei kirjeldata sellega.

Korreleerige korteeži ja ajatempli järgi. Sama allikas, sama sihtkoht, sama port, sama sekundi jooksul. Ilma selle vaste, on sarnaselt näiv sündmus teises logis lihtsalt teine sündmus, ja nende sidumine loob loo, mida keegi ei suuda kaitsta.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Suletud port ja tõrjutud pakett näevad väljastpoolt identsed välja ja on neis kahes väljundis täiesti erinevad. Just see erinevus on kogu põhjus lugeda kohalikku kirjet.

Kolmas etapp: mida autentimissündmus tõestab

Autentimissündmus ütleb, et komponent töötles taotlust piisavalt, et tulemus registreerida. See on ainus kolmest etapist, mis räägib identiteedist, ja ei ütle midagi selle kohta, kui palju pakette enne seda saabus.

Lugege sündmuse tegelikku konteksti. Ebaõnnestunud sisselogimine kontole, mida pole olemas, on skaneerimise müra. Ebaõnnestunud sisselogimine tõelisele kontole usutavast allikast on teine prioriteet. Õnnestunud sessioon on hoopis teine juhtumikategooria.

Jälgige ka protokollide nimesid. RPC ja RDP on eraldi teenused eraldi portidega. Ühte neist jälgiv detektor ei kata teist. Võrgutegevust kokkuvõtvad tööriistad ei ütle alati, milline kahest sündmuse tekitas.

Üks korreleeritud proov lööb armatuurlaua

Valige üks lubatud test, käivitage see meelega ja jälgige seda algusest lõpuni: sihtkoha aadress ja liides, tegelik allikaaadress, teenuse port, kehtiv tulemüüri profiil ja reegel ning vastav teenuse tulemus. Kaasake sellesse ahelasse igasugune ülesvoolu vastendus või pilvetulemüür, sest lubav reegel seal võib tühistada korrektse kohaliku.

Seejärel eraldage kaks kohustust. Kui haldamine peaks toimuma ainult VPN-i kaudu, rakendage seda nii avalikul kui ka tunneliteel, säilitades kinnitatud taastamistee. Tagasi lükatud katse jälgimine ei ole sama ülesanne kui otsustamine, mida server peaks vastu võtma.

Geograafiareegel või blokeeritud mitteseotud protokoll ei asenda vaadeldud sissepääsu ja selle saadud otsuse leidmist. Seda ei asenda ka VPN: väljuva liikluse tunnelist läbi suunamine ei dokumenteeri midagi sissetuleva autoriseerimise kohta.