Snort در لبه VPN: جایی که بسته‌ها قابل مشاهده‌اند

یک درخواست را از یک لپ‌تاپ دور دنبال کنید و پیش از آنکه چیزی بتواند آن را بررسی کند، از چندین مرز می‌گذرد. تونل بیرونی در فرایند VPN پایان می‌یابد، بسته درونی روی یک واسط ظاهر می‌شود و نشست HTTPS درون آن تا برنامه ادامه می‌یابد. ابزار بررسی تنها آنچه را در نقطه‌ای که بسته‌ها به آن می‌رسند قابل مشاهده است می‌بیند. یکی را بدون تعیین آن نقطه نصب کنید و گزارش‌ها لایه اشتباه را توصیف می‌کنند.

یک بسته از چندین مرز می‌گذرد

پیش از پایان‌دهی VPN ناظر یک اتصال بیرونی می‌بیند، معمولاً به درگاه VPN، با نشانی‌ها و اندازه‌ها اما بدون ساختار درونی. پس از پایان‌دهی، نشانی‌ها، درگاه‌ها و پروتکل‌های درونی در هر نقطه پردازشی که آن‌ها را تحویل می‌دهد در دسترس‌اند. TLS خود برنامه تا زمانی که طراحی جداگانه‌ای آن را پایان ندهد رمزگذاری‌شده می‌ماند. این‌ها سه سطح دید هستند و نام بسته به شما نمی‌گوید کدام را خریده‌اید.

مسیر را با مرزهای علامت‌خورده رسم کنید، سپس حس‌گر را روی خطی بگذارید که می‌توان به پرسش پاسخ داد، زیرا مکان بخشی از پاسخ است. مرزی که نمی‌توانید نام ببرید، مرزی است که نمی‌توانید بیازمایید.

ببینید در هر نقطه چه چیزی خواندنی است

پیش از اعتماد به هر توصیفی از معماری، واسط و یک ضبط کوتاه را بررسی کنید.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

فهرست پیوندها تونل‌ها و واسط‌های فیزیکی موجود را نشان می‌دهد و ضبط دقیقاً نشان می‌دهد حس‌گری که آنجا متصل شده چه دریافت می‌کرد. اگر نشانی‌های درونی را نشان دهد اما هیچ خط درخواست HTTP نداشته باشد، شما پس از پایان‌دهی VPN و هنوز بیرون از TLS برنامه هستید. این مکان عادی برای شناسایی شبکه و مکان اشتباه برای بررسی محتواست. ضبط را روی واسط بیرونی تکرار کنید تا مقایسه کنید مرز دیگر چه چیزی را آشکار می‌کند.

شناسایی غیرفعال به‌تنهایی نمی‌تواند مسدود کند

مستندات بررسی Snort مشاهده غیرفعال را از عملیات درون‌خطی جدا می‌کند. حالت غیرفعال می‌تواند درباره ترافیک هشدار دهد بدون آنکه آن را در آن مسیر متوقف کند.

snort -T -c /etc/snort/snort.lua

حالت آزمون پیکربندی را بدون اجرای حس‌گر اعتبارسنجی می‌کند، که نخستین گام درست پیش از هر استقرار است. عملیات درون‌خطی به چیدمان سازگار برای دریافت بسته و پیکربندی اجرای متناظر نیاز دارد، نه فقط یک گزینه اضافی. بنابراین یک ورودی گزارش دلیلی بر جلوگیری از یک درخواست نیست و فرایندی که با گزینه‌ای شبیه درون‌خطی آغاز شده ثابت نمی‌کند که جریان واقعی ارسال‌شده از آن می‌گذرد. تأیید کنید پیاده‌سازی در کجا بسته‌ها را واقعاً تحویل می‌دهد.

پیش از استقرار حالت اجرای سیاست را برگزینید

تصمیم بگیرید که نیاز، دید است یا پیشگیری، زیرا این دو رفتار خرابی متفاوتی دارند. حس‌گر غیرفعالی که می‌میرد ترافیک را روان می‌گذارد و شکاف پایش ایجاد می‌کند؛ دستگاه درون‌خطی که می‌میرد می‌تواند ترافیک را عبور دهد یا متوقف کند و آن انتخاب باید آگاهانه باشد. بر یک جریان مجاز، یک جریان که باید رد شود و رفتاری که هنگام خرابی حس‌گر می‌خواهید توافق کنید. بازیابی مدیریت را از مسیر بررسی‌شده جدا نگه دارید تا خطای حس‌گر دسترسی شما را هم از بین نبرد.

سپس ترافیک قابل مشاهده، نقطه پردازش و رفتار اجرای سیاست را ثبت کنید. این سه واقعیت، نه بسته نصب‌شده، توصیف می‌کنند که استقرار در عمل چه می‌کند.