VPN zerbitzari batean sartzen den alerta: irakurri behaketa-puntua

VPN baten atzean dagoen zerbitzari batek bere zerbitzu-sarrera publikoak gordetzen ditu, eta jendeak aurkitzen jarraitzen ditu. Alerten ilarara heltzen dena ez da aurkikuntza bat, hiru posible baizik, eta gauza desberdinak esan nahi dituzte. Lehen lana zerbitzu agerian dagoena kredentzial agerian dagoenetik bereiztea da.

Joan behaketa-puntuak ordenan. Gelditu frogak kategoria aldatzen duenean, hurrengo etapak beste galdera bati erantzuten baitio.

Lehen etapa: zer ikusi zuen harrapaketak benetan

Pakete-harrapaketa batek bere puntuan bidean ikusgai zegoena erregistratzen du. Puntu hori geroagoko iragazte-erabaki baten aurretik egon daiteke. Harrapatutako pakete batek frogatzen du trafikoa hara iritsi zela. Ez du ezer frogatzen gero zer gertatu zenari buruz.

Kontuan hartu interfazea ere. Egokitzaile publikoan egindako harrapaketa batek eta tunelaren barruan egindako harrapaketa batek iristeko puntu desberdinak deskribatzen dituzte, eta okerra aipatzen duen alertak ondorio okerra ekartzen du.

Windows-ek pila geruza batzuetan iragazten du, beraz, harrapaketa-tresna bigarren geruzan eta suhesia hirugarren geruzan esertzen diren eredu txukunak ez dio produktu erreal batekin harremanari eusten. Windows Filtering Platform-en ikuspegi orokorrak pilaren geruzetan zeharreko iragazketa deskribatzen du, eta horregatik behaketaren ordena ezarri behar da, ez suposatu.

Bigarren etapa: zer ezartzen du jauzi-erregistroak

Jauzi-erregistro batek dio politika-muga batek pakete hori baztertu zuela. Froga sendoa da. Froga estua ere bada, muga batean erabaki bat soilik hartzen baitu. Pilan beste ezer ez da harekin deskribatzen.

Lotu tuplaren eta denbora-zigiluaren arabera. Iturburu bera, helmuga bera, portu bera, segundo beraren barruan. Bat-etortze hori gabe, beste erregistro batean antzeko itxura duen gertaera beste gertaera bat besterik ez da, eta haiek parekatzeak inork defendatu ezin duen istorioa sortzen du.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Portu itxi bat eta baztertutako pakete bat berdinak dirudite kanpotik eta erabat desberdinak bi irteera hauetan. Aldea hori da erregistro lokala irakurtzeko arrazoi osoa.

Hirugarren etapa: zer frogatzen du autentifikazio-gertaerak

Autentifikazio-gertaera batek dio osagai batek eskaera nahikoa prozesatu zuela emaitza erregistratzeko. Hiru etapetatik bakarra da nortasunaz hitz egiten duena, eta ez du ezer esaten aurretik zenbat pakete iritsi zirenari buruz.

Irakurri gertaeraren benetako testuingurua. Existitzen ez den kontu baterako saio-hasiera hutsak eskaneatzearen zarata dira. Benetako kontu baterako iturri sinesgai batetik datorren saio-hasiera hutsak beste lehentasun bat du. Saio arrakastatsua erabat desberdina den gorabehera-kategoria da.

Kontuan hartu protokoloen izenak ere. RPC eta RDP portu desberdineko zerbitzu bereiziak dira. Bietako bat zaintzen duen detektagailuak ez du bestea estaltzen. Sare-jarduera laburbiltzen duten tresnek ez dute beti esaten bietakoren batek sortu zuen gertaera.

Lortutako lagin batek panel bat garaitzen du

Aukeratu baimendutako proba bat, exekutatu nahita eta jarraitu hasieratik amaierara: helmugako helbidea eta interfazea, benetako iturburu-helbidea, zerbitzu-portua, suhesiaren profil eta arau eraginkorrak, eta dagokion zerbitzu-emaitza. Sartu kate horretan edozein goragoko mapatze edo hodeiko suhesi, han onartzen duen arau batek tokiko arau txukun bat gaindi baitezake.

Ondoren bereizi bi betebeharrak. Administrazioa VPN bidez soilik izan behar bada, behartu hori bai bide publikoan bai tunelaren bidean, berreskuratze-bide onartu bat mantenduz. Baztertutako saiakera bat gainbegiratzea ez da zerbitzariak zer onartu behar duen erabakitzea bezalako zeregin bera.

Geografia-arau batek edo blokeatutako erlaziorik gabeko protokolo batek ez dute ordezkatzen behaketako sarrera eta jaso zuen erabakia aurkitzea. VPN batek ere ez du egiten: irteera-trafikoa tunel batetik bideratzeak ez du ezer dokumentatzen sarrerako baimenari buruz.