هشدارهای ورود VPN هشدار نفوذ نیستند: نشست را زیر نظر بگیرید
ورود غیرعادی یک انگیزه برای بازبینی است، نه حکم. پیش از آنکه آن را نفوذ بنامید، رکورد احراز هویت را به یک نشست و سپس به آنچه نشست لمس کرده گره بزنید.
هشداری از VPN که برای یک کشور تازه فعال می‌شود قاطع به نظر می‌رسد و معمولاً قاطع نیست. احراز هویت می‌گوید یک تلاش پذیرفته شده است؛ نشست می‌گوید کدام اتصال آن را حمل کرده؛ رکوردهای منابع می‌گویند درون آن اتصال چه رخ داده است. هر یک به پرسشی متفاوت پاسخ می‌دهد. قاعده‌ای که هر سه را یکی می‌کند، دوشنبه سی تیکت تولید می‌کند و جمعه پرونده واقعی را از دست می‌دهد.
نشانی خارجی یک پرسش است، نه پاسخ
سفر، اپراتورهای موبایلی که در کشوری دیگر خروجی می‌گیرند، پروکسی وب شرکتی و استخری از NAT سطح اپراتور که بازتخصیص یافته است، همه منبع ظاهری را جابه‌جا می‌کنند بی‌آنکه مهاجم را جابه‌جا کنند. رکورد ورود نشان می‌دهد اتصال از کجا وارد شبکه شده است، نه اینکه چه کسی دستگاه را در دست داشته.
شکست معکوس بدتر است چون بی‌صداست. گذرواژه دزدیده‌شده‌ای که از شهر خود کاربر استفاده شود، ورودی می‌سازد که در بررسی جغرافیایی با همه ورودهای پیشین می‌خواند.
برخورد با جغرافیا به‌عنوان حکم هزینه‌ای قابل اندازه‌گیری دارد. لپ‌تاپ‌های مسافر جریانی پیوسته از بازبینی‌ها می‌سازند، بازبین‌ها می‌آموزند آن‌ها را بی‌خواندن ببندند، و این عادت تا زمانی می‌ماند که پرونده‌ای واقعی به همان صف برسد.
سه نوع رکورد به سه پرسش متفاوت پاسخ می‌دهند
از آنچه محصولات مستقرشده واقعاً منتشر می‌کنند شروع کنید، نه از آنچه بروشور محصول می‌گوید می‌توانند منتشر کنند. تصمیم احراز هویت هویت ادعاشده، روش و نتیجه را نام می‌برد. چرخه عمر نشست اتصال، دروازه و نشانی تخصیص‌یافته را از آغاز تا توقف نام می‌برد.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
خانه خالی یک شکاف در جمع‌آوری است، نه تبرئه. اگر رویدادهای منابع هرگز نرسند، نبودِ یک خواندن مشکوک یعنی خط لوله چیزی برای گزارش ندارد، و داشبوردی ساکت خط لوله را توصیف می‌کند نه شبکه را. پیش از وعده دادن قاعده‌ای که به آن‌ها وابسته است، بنویسید استقرار واقعاً کدام رکوردها را تولید می‌کند و مالک هر جریان مفقود را نام ببرید.
جزئیات حسابداری جایی است که نشست‌ها قابل بررسی می‌شوند. حسابداری RADIUS که در RFC 2866 توصیف شده است، به‌روزرسانی‌های آغاز، توقف و میانی را کلیدشده با شناسه نشست حمل می‌کند، پس نشستی با آغاز و بدون توقف شکافی است که می‌توانید نامش را ببرید نه معما.
پیوند را بر نشست بزنید، نه بر نام کاربری
یک حساب به‌طور مشروع چند نشست را همزمان نگه می‌دارد: یک لپ‌تاپ، یک تلفن، یک ماشین آزمایشگاهی که شبانه متصل رها شده است. گره زدن هر رویداد به آن نام کاربری سه دستگاه را در یک روایت ادغام می‌کند و سپس ترکیب را به‌عنوان نفوذ می‌خواند. نشانی‌های تخصیص‌یافته نیز بازیافت می‌شوند، پس پیوندی که پس از پایان نشست همچنان با یک نشانی می‌خواند، دستگاه ماه گذشته را به رخداد امروز می‌کشد. کلید نشست را کنار نشانی نگه دارید و تطبیق را به پنجره زمانی که نشست واقعاً پوشش می‌داد محدود کنید.
جایی که ترجمه منبع اصلی را پیش از دیدن سرویس حذف می‌کند، از هویتی استفاده کنید که در آن مرز باقی می‌ماند، مانند موضوع TLS دوجانبه یا ادعای ورود یکپارچه. ساختن نگاشت یک‌به‌یک میان یک نشانی و یک شخص همان خطا با گام‌های بیشتر است.
هشداری بدون مالک یک داشبورد است
هر قاعده به یک شرط نیاز دارد، به توضیح‌های بی‌ضرری که آن را تولید می‌کنند، به شواهدی که باید گردآوری شود، و به شخصی که اقدام می‌کند. یک عملیات اداری ردشده مکرر، انفجاری از گذرواژه‌های ناموفق و یک جمع‌آورنده ساکت سه رخداد متفاوت با سه ساعت متفاوت‌اند.
اطلاع‌رسانی مهار نیست، و فهرست توزیع چیزی را محدود نمی‌کند. تغییر یک نشست زنده به مؤلفه‌ای نیاز دارد که آن را بتواند، چه دروازه‌ای که اتصال را قطع می‌کند و چه ارائه‌دهنده هویتی که نشست را باطل می‌کند. جریان‌های کهنه و رکوردهای توقف مفقود هم به متن قاعده تعلق دارند، چون جمع‌آورنده‌ای که یک روز چیزی نفرستاده، از داشبورد دقیقاً مانند شبکه‌ای ساکت دیده می‌شود. تفاوت فقط در خود خط لوله دیده می‌شود.
پیش از اعتماد به هفته‌ای ساکت، مسیر جمع‌آوری را بررسی کنید
پیش از تنظیم حتی یک قاعده، خط لوله را سرتاسر اثبات کنید. فرمان‌های زیر تأیید می‌کنند که شنونده‌های احراز هویت و حسابداری فعال‌اند، که یک اعتبارنامه آزمایشی به دلیل درست رد می‌شود و اینکه رویدادهای نشست هنوز می‌رسند:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
یک Access-Reject از آزمون اثبات می‌کند که درخواست به سرور رسیده و راز مشترک مطابقت داشته، و همین بخشی است که مردم از آن می‌گذرند. در عوض یک وقفه به راز، شنونده یا فیلتری پیش از آن اشاره می‌کند، و هر هشدار پایین‌دستی تا رفع آن غیرقابل بررسی است.
وضعیت ساعت مهم است چون پنجره‌های همبستگی هم‌زمانی را پیش‌فرض می‌گیرند. دروازه‌ای که چند دقیقه اختلاف دارد، پیوند نشستی را که وگرنه پاک است ناممکن نشان می‌دهد، و بازبین‌ها با گشاد کردن پنجره جبران می‌کنند تا پیوند دیگر تمایز ندهد. پیش از ویرایش قاعده، اختلاف را بررسی کنید.
سپس یک قاعده را زیر آزمونی بی‌ضرر ببرید: از نشانی‌ای غیرمنتظره ورود بسازید، تأیید کنید هشدار فعال می‌شود، تأیید کنید پاسخ‌دهنده می‌تواند نشست و رویدادهای منابعش را بیرون بکشد، و تأیید کنید تیکت شناسه نشست را حمل می‌کند. قاعده‌ای که روایتی منسجم می‌سازد قبول می‌شود. قاعده‌ای که توده‌ای از خطوط گزارش می‌سازد هنوز داشبورد است. نتیجه را کنار قاعده ثبت کنید تا بازبینی بعدی از شواهد آغاز شود نه از حدس.