RDP muudab klienti: miks andmebaas näeb teist hosti

Sinu VPN-i reegel keelab andmebaasi ja pilet suletakse tulemüüri rikkena, samal ajal kui sama kasutaja avab avaldatud töölaua ja pärib sellest andmebaasist ilma probleemideta. Mõlemad väited on tõesed. Töölaud on teine klient, oma aadressiga segmendis, mida reeglid juba usaldavad, ja oma identiteediga, kui ta edasi ühendub. See, mis näib vastuolulise reeglina, on tavaliselt teine päring, mida keegi ülevaatusse ei lisanud.

Teisel päringul on oma kliendiaadress

Kui seansi sees olev rakendus avab ühenduse andmebaasiga, algab TCP käesurumine seansi hostis. Selle lähteaadress kuulub selle hosti võrku, seega hindab iga teel olev ruuter ja andmebaasi tulemüür töölaua segmenti, mitte tunnelite basseini, kust sinu sülearvuti tuli. VPN-i aadress ei ilmu selles voos kunagi. Seetõttu võib allikapõhine keelureegel olla korraga õige ja ebaoluline.

Loe päritolu seansi seest, mitte sülearvutist, seejärel kontrolli edasist teed samast kohast. Kaks vastust peaksid kokku langema selles, milline host päringu teeb.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Võrdle seda, mida seanss teatab, aadressiga, mille andmebaas sama ajahetke kohta salvestas. Kui serverilogi näitab tunnelite basseini asemel töölaua alavõrku, lakkab küsimus olemast, kas reegel rakendus, ja muutub küsimuseks, milline host päringu tegi. See on teine uurimine teise omanikuga.

Identiteet muutub koos aadressidega

Edasine ühendus autendib end tavaliselt seansi tokenina, salvestatud mandaadina või rakenduse teenusekontona ja ressurss salvestab selle, mis talle anti. Seetõttu ei tõenda andmebaasis teenusekontot näitav auditijälg, et päringu käivitas inimene. See ei tuvasta ka seda inimest. Ainult töölaua enda seansilogi seob need kaks kirjet.

Autoriseerimine toimub kaks korda ja teine otsus tehakse teiste sisenditega. Esimene annab nimetatud kasutajale töölaua sisselogimise, teine annab selle, mida selle kasutaja token või rakenduse konto saab ressursiga teha. Klienditoe grupp, kes tohib töölauda avada, ei ole automaatselt grupp, kes tohib lugeda klienditabelit.

Vaata tokenit ja delegeerimisteed enne juurdepääsumärkme kirjutamist. Mõlemad on nähtavad seansi seest ja see on ainus koht, kus vastus ei ole oletus.

whoami /groups
klist
query session

Kui rakendus kasutab teenusekontot, on edasi olulised just selle õigused. Selle mandaadi vahetamine kuulub juurdepääsu ülevaatesse, mitte hilisemasse operatiivsesse mõttesse.

Miks otsene tee on endiselt blokeeritud, ja õigustatult

Keelureegel ei ole vale ainult sellepärast, et sihtkoht on muul viisil kättesaadav. Segmenteerimist hinnatakse allika kaupa ja töölaud asub segmendis, mis lubati ammu enne, kui keegi hakkas seda pidama teeks andmebaasi. Miski ei läinud poliitikast mööda. Poliitika kirjeldab lihtsalt kahte erinevat allikat kahe erineva tulemusega.

Ülevaatus peab vastama, mida iga volitatud seanss selles hostis käivitada saab. Salvestatud seanssidega brauserid, kaardistatud kettad, mandaate hoidvad agendid ja kohapeal kuulavad teenused laiendavad kõik töölaua ulatust ja ükski neist ei ilmu piletis, mis sisselogimise andis. See loend on tegelik õiguste pind.

Loetle see testimisseansi seest, mitte tabelist. Mõned käsud katavad suurema osa pinnast.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Vali piir teadlikult

Kolm kuju sobivad erinevateks ülesanneteks ja valik peaks järgima ülesannet, mitte tööriista, mis juhtumisi olemas on. Avaldatud rakendus paljastab ühe programmi oma õigustega, täis töölaud paljastab kõik, mida kasutaja profiil teha saab, ja allikapiiranguga kitsas andmebaasikonto paljastab ühe ressursi hoopis ilma töölauata. Kõige kitsam kuju, mis töö siiski lõpetab, on see, mida dokumenteerida. Kõik laiem vajab kõrvale kirjutatud põhjust.

Ühe aruande jaoks on avaldatud rakendus või piiratud konto väiksem luba kui üldine töölaud. Hoolduseks, mis tõesti vajab mitut tööriista, võib töölaud õige olla, kuid siis kirjeldab kinnitus kogu hosti, mitte üht rakendust. Küsi ressursi omanikult, millega neist ta nõus on.

Andmete liikumine on eraldi lüliti. Lõikelaud, ketaste ümbersuunamine ja allalaadimised võivad kanda ettevõtte andmeid kliendini ja rakenduse kaugkäivitamine ei hoia andmeid iseenesest kaugel.

Kontrolli mõlemat kinnitust ja eemaldamise teed

Kirjesse kuulub kaks kinnitust: õigus jõuda töölauani ja see avada ning õigus kasutada ressursse selle seest. Nimeta mõlemale omanik ja hoia teine nähtavana kõigile, kes ressursi üle vaatavad. Just teise kirje kohta küsib audiitor, sest see kirjeldab ulatust, mitte sisenemist. Kirjuta mõlemad enne muudatuse kinnitamist, mitte pärast esimest juhtumit.

Seejärel testi eemaldamist, sest katkestatud seanss võib oma põhjuse üle elada. Seansitabel on kiireim koht, et näha, mis veel töötab.

query session
query user
qwinsta /server:rdsh01.corp.internal

Kliendi katkestamine jätab kaugseansi tööle ning selle võrguühendused ja vahemällu salvestatud mandaadid võivad jääda kasutatavaks, kuni see seanss lõpeb. Logi välja või lõpeta seanss selgesõnaliselt ja kinnita, et allavoolu loendur lakkab pärast seda edenemast. Eemaldamise test, mis ainult sulgeb sülearvuti kaane, ei tõesta midagi. Tee sama test üks kord väljalülitatud kontoga ja üks kord eemaldatud töölauaõigusega, seejärel pane kirja, mida ressurss kummagi puhul logis.