Snort VPNaren ertzean: non diren paketeak ikusgai

Jarraitu eskaera bat urrutiko ordenagailu eramangarri batetik eta hainbat muga zeharkatzen ditu, edozerk aztertu aurretik. Kanpoko tunela VPN prozesuan amaitzen da, barneko paketea interfaze batean agertzen da eta barruko HTTPS saioa aplikaziora arte jarraitzen du. Ikuskapen tresna batek paketeak iristen zaizkion puntuan ikusgai dagoena besterik ez du ikusten. Instalatu bat puntu hori erabaki gabe, eta erregistroek okerreko geruza deskribatuko dute.

Pakete batek hainbat muga zeharkatzen ditu

VPNaren amaiera aurretik behatzaileak kanpoko konexio bat ikusten du, normalean VPN atakara, helbide eta tamainekin baina barne egiturarik gabe. Amaieraren ondoren barneko helbideak, atakak eta protokoloak eskuragarri daude haiek ematen dituen prozesamendu puntuan. Aplikazioaren beraren TLS zifratuta jarraitzen du diseinu bereizi batek amaitzen ez badu. Hiru ikusgaitasun maila dira, eta pakete baten izenak ez dizu esaten zein erosi zenuten.

Marraztu bidea mugak markatuta, eta gero jarri sentsorea galderari erantzun dakiokeen lerroan, kokapena erantzunaren parte baita. Ezin duzun izendatu muga bat ezin duzun probatu muga bat da.

Ikusi zer den irakurgarri puntu bakoitzean

Egiaztatu interfazea eta grabazio labur bat arkitekturaren edozein deskribapenetan fidatu aurretik.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Esteken zerrendak dauden tunel eta interfaze fisikoak erakusten ditu, eta grabazioak han konektatutako sentsore batek zer jasoko lukeen erakusten du zehazki. Barne helbideak erakusten baditu baina HTTP eskaera-lerrorik ez, VPNaren amaieraren ondoren zaude eta oraindik aplikazioaren TLS-tik kanpo. Hori sare-detekziorako ohiko lekua da eta edukia aztertzeko leku okerra. Errepikatu grabazioa kanpoko interfazean beste mugak zer erakusten duen alderatzeko.

Detekzio pasiboak ezin du bere kabuz blokeatu

Snort-en ikuskapen dokumentazioak behaketa pasiboa eta lerroko funtzionamendua bereizten ditu. Modu pasiboak trafikoari buruz abisua eman dezake bide horretan gelditu gabe.

snort -T -c /etc/snort/snort.lua

Proba moduak konfigurazioa baliozkotzen du sentsorea exekutatu gabe, eta hori da urrats zuzena edozein ezarpenen aurretik. Lerroko funtzionamenduak paketeak eskuratzeko antolamendu bateragarria eta aplikatzeko konfigurazio egokia behar ditu, ez bandera gehigarri bat soilik. Beraz, erregistro-sarrera bat ez da eskaera bat eragotzi zela frogatzen duen ebidentzia, eta lerroko itxura duen aukerarekin hasitako prozesu batek ez du frogatzen benetako birbidalitako fluxua haren bidez pasatzen denik. Berretsi non ematen dizkien inplementazioak paketeak benetan.

Aukeratu aplikazio modua ezarpenaren aurretik

Erabaki eskakizuna ikusgaitasuna ala prebentzioa den, biok huts egiteko portaera desberdina dutelako. Hiltzen den sentsore pasibo batek trafikoa isurtzen utzi eta monitorizazio hutsunea sortzen du; hiltzen den lerroko gailu batek trafikoa pasatzen utzi edo gelditu dezake, eta aukera hori nahita hartu behar da. Ados jarri baimendutako fluxu bat, ukatu beharreko fluxu bat eta sentsoreak huts egiten duenean nahi duzun portaeran. Mantendu kudeaketaren berreskurapena aztertutako bidetik bereizita, sentsorearen akats batek zure sarbidea ere kenduko ez dezan.

Ondoren erregistratu trafiko ikusgaiak, prozesamendu puntua eta aplikazio portaera. Hiru gertaera horiek, eta ez instalatutako paketeak, deskribatzen dute ezarpenak benetan zer egiten duen.