Nessus VPN:n yli: mihin skanneri sijoitetaan ennen ensimmäistä skannausta

Selaimen vieressä oleva VPN-kuvake ei kerro mitään prosessista, joka lähettää skannauspaketit. Jos konsoli ja skanneri toimivat eri isännillä, selaimen tunneli on yksi reitti ja skannauksen lähde toinen. Aloita suorituspisteestä ja etene ulospäin: reitti, valtuutus ja tunnistetiedot. Tämä ero on listan ensimmäisenä syystä.

Tämä on ennen käynnistystä tehtävä tarkistuslista, ei skannausopas. Jokainen vaihe tuottaa tosiasian, jonka voit kirjata toimeksiannon lokiin ennen kuin yksikään paketti lähtee skannerista.

Ensimmäinen tarkistus: paikanna prosessi, joka lähettää luotaimet

Piirrä kolme roolia selvästi: selain kannettavassa A, skannauskonsoli isännässä B ja yksityinen kohde C. Jos B ajaa myös skannausmoottoria, selain tarvitsee vain reitin B:hen. Jos työn tekee erillinen skannauslaite, se laite tarvitsee reitin C:hen.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

VPN:ään yhdistetty selain voi tavoittaa konsolin, vaikka sen takana olevalla skannerilla ei vielä ole reittiä C:hen. Myös päinvastoin: skanneri on yksityisessä verkossa ja konsoli on etänä. Selvitä, mitä järjestelyä todella ajat, ennen kuin muutat mitään verkko-ohjausta. Nimeä laite skannausmäärityksessä ennen kuin syytät verkkoa.

Jos skanneri toimii A:ssa, selaimen isäntä ja skanneri jakavat kontekstin, mutta vain niin kauan kuin prosessi säilyttää saman nimiavaruuden ja saman reititystaulun. Kontti tai palvelutili ei välttämättä peri sitä, mitä interaktiivinen selain näkee. Konsoli on hallintapinta, ei skannausmoottori.

Toinen tarkistus: todista skannerin reitti ja DNS

Tee reittitarkistus skannerin isännässä, ei kannettavassa. Kysy ytimeltä, mitä liitäntää ja yhdyskäytävää se käyttäisi kohteen osoitteeseen, ja toista kohteen isäntänimelle. Reitti, joka on olemassa IP:lle, ja nimi, joka ratkeaa toiseen osoitteeseen, ovat kaksi eri vikaa.

Vahvista lähdeosoite, joka näkyy kohteessa. VPN-asiakas voi antaa eri osoitteen kuin kohteen palomuuri odottaa, ja NAT-laite voi kirjoittaa sen uudelleen. Kohteen omistaja tarvitsee havaitun lähteen, ei VPN-profiiliin painettua osoitetta.

Tarkista myös paluureitti. Skanneri, joka tavoittaa kohteen mutta ei saa vastauksia, kärsii reititys- tai palomuuriongelmasta paluumatkalla, ja se näyttää täsmälleen samalta kuin kohteen kaatuminen.

Kolmas tarkistus: hanki laajuudelle ja näkökulmalle valtuutus

Pyydä kohteen omistajaa nimeämään kirjallisesti järjestelmät, palvelut, ympäristö, lähde ja aikaikkuna. Päätä, mitä näkökulmaa arviointi edustaa: ulkoinen VPN-käyttäjä, hyväksytty sisäinen asiakas vai tietty skannerisegmentti.

Yksityinen reitti ei ole lupa testata viereisiä verkkoja. Pidä kohdelista suppeana, luettele poissuljetut järjestelmät ja sovi pysäytysehdoista sekä yhteyshenkilöstä, joka voi keskeyttää ajon. Skanneri tutkii mielellään kaiken, mihin se yltää, ja juuri siksi laajuuden on oltava nimenomainen.

Kirjaa hyväksytty lähde samaan asiakirjaan. Jos skannerin havaittu lähde eroaa hyväksytystä, ajo ei edusta sovittua näkökulmaa, vaikka kohdelista olisi oikein.

Neljäs tarkistus: sovita tunnistetiedot arvioinnin syvyyteen

Tavoitettavuustarkistus ja todennettu arviointi ovat eri testejä. Portin vastaus todistaa, että jokin vastasi; se ei todista, että tunnistetiedoilla tehdyt tarkistukset ajettiin tai että sovellus valtuutti tilin.

Käytä erillisiä tunnistetietoja vain, kun sovittu laajuus vaatii todennettuja tarkistuksia. Vahvista tilin oikeudet ja lukituskäytäntö ja päätä, miten löydökset tallennetaan ja jaetaan ennen kuin skannaus tuottaa ne.

Jos tunnistetiedot epäonnistuvat, älä siirry hiljaa todentamattomaan ajoon äläkä nimeä raporttia suunnitelluksi arvioinniksi. Tulos on eri testi, jolla on eri merkitys, ja se ero kuuluu raporttiin.

Viides tarkistus: tallenna suunnitelma ja käynnistä sitten harkitusti

Nessus-skannauksen työnkulussa mallin valinta, asetusten määrittäminen ja skannauksen tallentaminen tai käynnistäminen ovat erillisiä vaiheita. Käytä tätä erottelua kohdelistan, lähteen ja aikataulun tarkistamiseen ennen kuin liikenne alkaa.

Ennen kuin valtuutat käynnistyksen, tarkista, minkä lähteen VPN sallii, mitä liikennettä se kuljettaa ja miten se toipuu katkenneesta tunnelista. Älä laajenna palomuurin pääsyä vain siksi, että alustava yhteys epäonnistui; löydä kerros, joka hylkäsi sen, ja korjaa se kerros.

Ajon jälkeen kirjaa skannerin isäntä, havaittu lähde, kohdelista ja kaikki tarkistukset, joita ei voitu suorittaa loppuun. Toisesta lähteestä tai ilman aiottuja tunnistetietoja tehty raportti ei edusta alkuperäistä suunnitelmaa, ja sen sanominen on osa toimitusta.

Peruuta toimeksiannon pääsy ja käsittele säilytetyt tulokset sovitun prosessin mukaan. Tarkistuslista on valmis vasta, kun todisteet vastaavat hyväksymääsi reittiä, ei silloin, kun skannaus vain palautti tuloksia.