VPN-i sisselogimishoiatused ei ole sissetungi hoiatused: jälgi sessiooni
Ebatavaline sisselogimine on ülevaatamise põhjus, mitte otsus. Seo autentimiskirje sessiooniga ja seejärel sellega, mida sessioon puudutas, enne kui nimetad seda sissetungiks.
Uude riiki ilmuv VPN-i hoiatus tundub lõplik, ja tavaliselt see ei ole. Autentimine ütleb, et katse võeti vastu; sessioon ütleb, milline ühendus selle kandis; ressursikirjed ütlevad, mis selle ühenduse sees juhtus. Igaüks vastab erinevale küsimusele. Reegel, mis kõik kolm kokku sulatab, toodab esmaspäeval kolmkümmend pileti ja jätab reedel tõelise juhtumi kahe silma vahele.
Võõras aadress on küsimus, mitte vastus
Reisimine, teises riigis väljuvad mobiilioperaatorid, ettevõtte veebipuhverserver ja ümber jagatud carrier-grade NAT-i kogum liigutavad kõik näilist allikat, liigutamata ründajat. Sisselogimiskirje peegeldab, kust ühendus võrku sisenes, mitte kes seadet hoidis.
Vastupidine ebaõnnestumine on hullem, sest see on vaikne. Kasutaja enda linnast kasutatud varastatud parool annab sisselogimise, mis vastab geograafiakontrollis kõigile varasematele sisselogimistele.
Geograafia kui otsuse kohtlemisel on mõõdetav hind. Reisivad sülearvutid tekitavad pideva ülevaatamiste voo, ülevaatajad õpivad neid lugemata sulgema ja harjumus püsib, kuni tõeline juhtum samasse järjekorda satub.
Kolm kirjetüüpi vastavad kolmele erinevale küsimusele
Alusta sellest, mida juurutatud tooted tegelikult väljastavad, mitte sellest, mida tootebrošüür vihjab, et nad võiksid väljastada. Autentimisotsus nimetab väidetud identiteedi, meetodi ja tulemuse. Sessiooni elutsükkel nimetab ühenduse, lüüsi ja määratud aadressi, algusest peatumiseni.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Tühi lahter on kogumislünk, mitte õigeksmõist. Kui ressursisündmused ei saabu kunagi, tähendab kahtlustäratava lugemise puudumine, et torustikul pole midagi teatada, ja vaikne armatuurlaud kirjeldab torustikku, mitte võrku. Kirjuta üles, milliseid kirjeid juurutus tegelikult toodab, enne kui lubad reeglit, mis neist sõltub, ja nimeta iga puuduva voo omanik.
Arvestusdetailid on koht, kus sessioonid muutuvad kontrollitavaks. RADIUS-arvestus, nagu kirjeldatud standardis RFC 2866, kannab alguse, peatumise ja vahepealsed värskendused, mis on seotud sessiooni identifikaatoriga, seega algusega ja peatumiseta sessioon on lünk, millele saad nime anda, mitte mõistatus.
Ühenda sessiooni, mitte kasutajanime järgi
Üks konto hoiab seaduslikult mitut sessiooni korraga: sülearvuti, telefon, üleöö ühendatud laborimasin. Kõigi selle kasutajanime sündmuste ühendamine sulatab kolm seadet üheks looks ja loeb seejärel kombinatsiooni kompromiteerimisena. Määratud aadresse ringlussevõetakse samuti, seega liit, mis jätkab aadressi sobitamist pärast sessiooni lõppu, tirib eelmise kuu seadme tänasesse intsidenti. Hoia sessioonivõti aadressi kõrval ja piira sobivus ajavahemikuga, mille sessioon tegelikult kattis.
Kus tõlge eemaldab algse allika enne, kui teenus seda näeb, kasuta identiteeti, mis sellel piiril püsib, näiteks vastastikuse TLS-i subjekt või ühekordse sisselogimise väide. Üks-ühele vastavuse leiutamine aadressi ja isiku vahel on sama viga lisasammudega.
Omanikuta hoiatus on armatuurlaud
Iga reegel vajab tingimust, seda tekitavaid ohutuid selgitusi, kogutavaid tõendeid ja tegutsevat inimest. Korduv keelatud haldustoiming, ebaõnnestunud paroolide puhang ja vaikne koguja on kolm erinevat intsidenti kolme erineva kellaga.
Teavitus ei ole tõkestamine ja levitusnimekiri ei piira midagi. Elava sessiooni muutmiseks on vaja komponenti, mis seda suudab, olgu selleks lüüs, mis ühenduse katkestab, või identiteedipakkuja, kes sessiooni tühistab. Aegunud voog ja puuduvad peatumiskirjed kuuluvad samuti reegli teksti, sest koguja, kes pole päeva jooksul midagi saatnud, näeb armatuurlauast täpselt välja nagu vaikne võrk. Erinevus on nähtav ainult torustikus endas.
Kontrolli kogumisteed enne, kui usaldad vaikset nädalat
Tõesta torustik otsast otsani enne, kui ühtki reeglit häälestad. Allolevad käsud kinnitavad, et autentimis- ja arvestuskuulajad töötavad, et testmandaat lükatakse tagasi õigel põhjusel ja et sessioonisündmused saabuvad endiselt:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Testi Access-Reject tõestab, et päring jõudis serverini ja ühine saladus sobis, ning just selle osa jätavad inimesed vahele. Aegumine osutab seevastu saladusele, kuulajale või selle ees olevale filtrile, ja iga allpool olev teavitus on kontrollimatu, kuni see on parandatud.
Kella olek on oluline, sest korrelatsiooniaknad eeldavad üksmeelt. Minuteid kõrvalekalduv lüüs muudab muidu puhta sessiooniliite võimatuks ja ülevaatajad kompenseerivad akna laiendamisega, kuni liide lakkab eristamast. Kontrolli nihet enne reegli muutmist.
Seejärel pane üks reegel kahjutu testi alla: genereeri sisselogimine ootamatult aadressilt, kinnita, et hoiatus käivitub, kinnita, et reageerija saab sessiooni ja selle ressursisündmused välja võtta, ja kinnita, et pilet kannab sessiooni identifikaatorit. Reegel, mis loob sidusa loo, läbib. Reegel, mis loob hunniku logiridu, on endiselt armatuurlaud. Kirjenda tulemus reegli juurde, et järgmine ülevaatus algaks tõenditest, mitte intuitsioonist.