Saapuva hälytys VPN-palvelimella: lue havaintopiste

VPN:n takana oleva palvelin pitää julkiset palvelumerkintänsä, ja ihmiset löytävät ne yhä uudelleen. Hälytysjonoon saapuva ei ole yksi löydös vaan kolme mahdollista, ja ne tarkoittavat eri asioita. Ensimmäinen tehtävä on erottaa paljastunut palvelu paljastuneesta tunnuksesta.

Käy havaintopisteet järjestyksessä läpi. Pysähdy, kun todisteet vaihtavat luokkaa, sillä seuraava vaihe vastaa toiseen kysymykseen.

Ensimmäinen vaihe: mitä kaappaus todella näki

Pakettikaappaus tallentaa sen, mikä oli näkyvissä sen omassa pisteessä polulla. Tämä piste voi olla ennen myöhempää suodatuspäätöstä. Kaapattu paketti todistaa, että liikenne saapui sinne. Se ei todista mitään siitä, mitä tapahtui seuraavaksi.

Kiinnitä huomiota myös liitäntään. Kaappaus julkisella sovittimella ja kaappaus tunnelin sisällä kuvaavat eri saapumispisteitä, ja väärän niistä mainitseva hälytys johtaa väärään johtopäätökseen.

Windows suodattaa myös pinon useassa kerroksessa, joten siisti malli, jossa kaappaustyökalu istuu kerroksessa kaksi ja palomuuri kerroksessa kolme, ei kestä kohtaamista todellisen tuotteen kanssa. Windows Filtering Platformin yleiskatsaus kuvaa suodatusta pinon kerrosten yli, ja siksi havaintajärjestys on todettava eikä oletettava.

Toinen vaihe: mitä pudotusmerkintä vahvistaa

Pudotusmerkintä kertoo, että käytäntöraja hylkäsi kyseisen paketin. Se on vahva todiste. Se on myös kapea todiste, koska se kattaa yhden päätöksen yhdellä rajalla. Mikään muu pinossa ei tule sillä kuvatuksi.

Korreloi monikon ja aikaleiman perusteella. Sama lähde, sama kohde, sama portti, saman sekunnin sisällä. Ilman tätä osumaa samannäköinen tapahtuma toisessa lokissa on yksinkertaisesti toinen tapahtuma, ja niiden parittaminen tuottaa tarinan, jota kukaan ei voi puolustaa.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Suljettu portti ja pudotettu paketti näyttävät ulkopuolelta samoilta ja ovat näissä kahdessa tulosteessa täysin erilaisia. Juuri tämä ero on koko syy lukea paikallinen merkintä.

Kolmas vaihe: mitä todennustapahtuma todistaa

Todennustapahtuma kertoo, että komponentti käsitteli pyynnön riittävän pitkälle tallentaakseen tuloksen. Se on ainoa kolmesta vaiheesta, joka puhuu identiteetistä, eikä se kerro mitään siitä, kuinka monta pakettia saapui ennen sitä.

Lue tapahtuman todellinen konteksti. Epäonnistunut kirjautuminen tilille, jota ei ole, on skannauksen kohinaa. Epäonnistunut kirjautuminen oikealle tilille uskottavasta lähteestä on eri prioriteetti. Onnistunut istunto on kokonaan eri tapahtumaluokka.

Seuraa myös protokollien nimiä. RPC ja RDP ovat erillisiä palveluja, joilla on erilliset portit. Toista niistä tarkkaileva ilmaisin ei kata toista. Verkkotoimintaa yhteenvetävät työkalut eivät aina kerro, kumpi kahdesta tuotti tapahtuman.

Yksi korreloitu näyte voittaa koontinäytön

Valitse yksi valtuutettu testi, aja se tarkoituksella ja seuraa sitä päästä päähän: kohdeosoite ja liitäntä, todellinen lähdeosoite, palvelun portti, voimassa oleva palomuuriprofiili ja sääntö sekä vastaava palvelutulos. Sisällytä ketjuun mikä tahansa ylävirran kartoitus tai pilvipalomuuri, sillä siellä salliva sääntö voi ohittaa siistin paikallisen säännön.

Erota sitten kaksi velvollisuutta. Jos hallinnan on tarkoitus tapahtua vain VPN:n kautta, valvo sitä sekä julkisella että tunnelin polulla säilyttäen hyväksytty palautumisreitti. Hylätyn yrityksen tarkkailu ei ole sama tehtävä kuin päättäminen siitä, mitä palvelimen pitäisi hyväksyä.

Maantieteellinen sääntö tai estetty asiaankuulumaton protokolla ei korvaa havaitun sisäänkäynnin ja sen saaman päätöksen löytämistä. Sitä ei korvaa VPN:kään: lähtevän liikenteen reitittäminen tunnelin kautta ei dokumentoi mitään saapuvasta valtuutuksesta.