RDPk bezeroa aldatzen du: zergatik ikusten duen datu-baseak beste ostalari bat

Zure VPN arauak datu-basea ukatzen du eta tiketak suebakiko hutsegite gisa ixten da, erabiltzaile berak argitaratutako mahaigain bat ireki eta datu-base horri arazo gabe galdetzen dion bitartean. Bi baieztapenak egiazkoak dira. Mahaigaina beste bezero bat da, arauek jadanik fidatzen duten segmentu batean duen helbide propioarekin, eta aurrera konektatzen denean duen identitate propioarekin. Arau kontraesankorra dirudiena bigarren eskaera bat izan ohi da, inork berrikuspenean jarri ez zuena.

Bigarren eskaerak bezero helbide propioa du

Saioaren barruko aplikazio batek datu-basera konexioa irekitzen duenean, TCP esku-ukitzea saioaren ostalarian hasten da. Bere iturburu helbidea ostalari horren sarekoa da, beraz bidean dagoen bideratzaile eta datu-base suebaki bakoitzak mahaigainaren segmentua ebaluatzen du, zure eramangarria etorri zen tunel igerilekua beharrean. VPN helbidea ez da inoiz agertzen fluxu horretan. Horregatik iturburuan oinarritutako ukapen arau bat zuzena eta garrantzirik gabea izan daiteke aldi berean.

Irakurri jatorria saioaren barnetik, ez eramangarritik, eta gero probatu aurrerako bidea leku beretik. Bi erantzunek bat etorri behar dute zein ostalarik egiten duen eskaera.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Konparatu saioak ematen duena datu-baseak une bererako erregistratu zuen helbidearekin. Zerbitzariaren erregistroak tunel igerilekuaren ordez mahaigainaren azpisarea erakusten duenean, galdera ez da gehiago araua abiarazi zen ala ez eta bihurtzen da zein ostalarik egin zuen eskaera. Beste ikerketa bat da, beste jabe batekin.

Identitatea ere aldatzen da, helbideratzeaz gain

Aurrerako konexioak saioaren token gisa, gordetako kredentzial gisa edo aplikazioaren zerbitzu-kontu gisa egiaztatzen du normalean, eta baliabideak eman zitzaiona erregistratzen du. Beraz, datu-basean zerbitzu-kontu bat erakusten duen auditoria arrastoak ez du frogatzen gizaki batek exekutatu zuenik kontsulta. Ez du gizakia ere identifikatzen. Mahaigainaren beraren saio-erregistroak soilik lotzen ditu bi erregistroak.

Baimena bi aldiz gertatzen da, eta bigarren erabakia beste sarrera batzuekin hartzen da. Lehenengoak izendatutako erabiltzaile bati mahaigaineko saio-hasiera ematen dio, bigarrenak erabiltzaile horren tokenak edo aplikazioaren kontuak baliabideari egin diezaiokeena ematen du. Mahaigain bat ireki dezakeen laguntza-taldea ez da automatikoki bezero-taula bat irakurri dezakeen taldea.

Begiratu tokena eta delegazio bidea sarbide-oharra idatzi aurretik. Biak saioaren barnetik ikusgai daude, eta hori da erantzuna susmoa ez den leku bakarra.

whoami /groups
klist
query session

Aplikazioak zerbitzu-kontu bat erabiltzen badu, haren eskubideak dira aurrera garrantzitsuak. Kredentzial hori biratzea sarbide berrikuspenari dagokio, ez ondorengo gogoeta operatiboari.

Zergatik dagoen bide zuzena oraindik blokeatuta, eta zuzen

Ukapen araua ez da okerra helmuga beste bide batetik eskuragarri delako bakarrik. Segmentazioa iturburu bakoitzeko ebaluatzen da, eta mahaigaina duela asko onartu zen segmentu batean dago, inork datu-baserako bide gisa pentsatu baino askoz lehenago. Ezerk ez zuen politika saihestu. Politikoak bi iturburu desberdin deskribatzen ditu, bi emaitza desberdinekin.

Berrikuspenak erantzun behar duena da ostalari horretako saio baimendu bakoitzak zer abia dezakeen. Gordetako saioko nabigatzaileek, mapatutako unitateek, kredentzialak dituzten agenteek eta tokian entzuten duten zerbitzuek guztiek mahaigainaren irismena zabaltzen dute, eta horietako bat ere ez da agertzen saio-hasiera eman zion tiketean. Inbentario hori da baimen gainazal erreala.

Zerrendatu proba-saio baten barnetik, ez kalkulu-orri batetik. Komando gutxi batzuek gainazalaren zatirik handiena estaltzen dute.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Aukeratu muga nahita

Hiru forma zeregin desberdinetara egokitzen dira, eta aukerak zeregina jarraitu behar du, ez kasualitatez existitzen den tresnak. Argitaratutako aplikazio batek programa bat erakusten du bere baimenekin, mahaigain oso batek erabiltzailearen profilek egin dezakeen guztia erakusten du, eta iturburu-murrizketa duen datu-base kontu estu batek baliabide bat erakusten du mahaigainik gabe. Lana oraindik osatzen duen forma estuena da dokumentatu beharrekoa. Zabalagoa den edozeinek alboan idatzitako arrazoia behar du.

Txosten bakar baterako, argitaratutako aplikazioa edo kontu murriztua baimen txikiagoa da mahaigain orokor bat baino. Benetan hainbat tresna behar dituen mantentze-lanetarako, mahaigaina egokia izan daiteke, baina orduan onespenak ostalari osoa deskribatzen du, ez aplikazio bat. Galdetu baliabidearen jabeari zein onartzen duen.

Datuen mugimendua etengailu bereizia da. Arbelak, unitateen birbideratzeak eta deskargek enpresaren datuak bezerora eraman ditzakete, eta aplikazio bat urrutitik exekutatzeak ez ditu datuak urruti mantentzen berez.

Egiaztatu bi onespenak eta kentze-bidea

Bi onespen dagozkio erregistroari: mahaigaina iristeko eta irekitzeko eskubidea, eta haren barnetik baliabideak erabiltzeko eskubidea. Izenda ezazu jabe bat bakoitzarentzat eta eduki bigarrena ikusgai baliabidea berrikusten duenarentzat. Bigarren sarrera hori galdetuko du auditoria batek, irismena deskribatzen duelako, ez sarrera. Idatzi biak aldaketa onartu aurretik, ez lehenengo gorabeheraren ondoren.

Gero probatu kentzea, deskonektatutako saio batek bere arrazoia baino gehiago iraun baitezake. Saio-taula da oraindik zer dabilen ikusteko lekurik azkarrena.

query session
query user
qwinsta /server:rdsh01.corp.internal

Bezeroa deskonektatzeak urrutiko saioa martxan uzten du, eta haren sare-konexioak eta cachean dauden kredentzialak erabilgarri egon daitezke saio hori amaitu arte. Amaitu saioa, edo bukatu espresuki, eta egiaztatu beheragoko kontagailuak gero ez duela aurrera egiten. Eramangarriaren estalkia soilik ixten duen kentze-probak ez du ezer frogatzen. Egin proba bera behin kontua desgaituta eta behin mahaigaineko baimena kenduta, eta gero idatzi baliabideak kasu bakoitzean zer erregistratu zuen.