RDP vaihtaa asiakasta: miksi tietokanta näkee toisen isännän

VPN-sääntösi hylkää tietokannan ja tiketti suljetaan palomuurin vikana, kun taas sama käyttäjä avaa julkaistun työpöydän ja kyselyttää kyseistä tietokantaa ilman ongelmia. Molemmat väitteet ovat tosia. Työpöytä on eri asiakas, jolla on oma osoite segmentissä, johon säännöt jo luottavat, ja oma identiteettinsä, kun se yhdistää eteenpäin. Se, mikä näyttää ristiriitaiselta säännöltä, on yleensä toinen pyyntö, jota kukaan ei lisännyt tarkasteluun.

Toisella pyynnöllä on oma asiakasosoite

Kun istunnon sisäinen sovellus avaa yhteyden tietokantaan, TCP-kättely alkaa istunnon isännästä. Sen lähdeosoite kuuluu kyseisen isännän verkkoon, joten jokainen reititin ja tietokannan palomuuri matkalla arvioi työpöydän segmenttiä eikä tunneliallasta, josta kannettavasi tuli. VPN-osoite ei näy siinä virrassa koskaan. Siksi lähdeperusteinen kieltosääntö voi olla samanaikaisesti oikea ja merkityksetön.

Lue alkuperä istunnon sisältä eikä kannettavasta ja testaa sitten jatkopolku samasta paikasta. Kahden vastauksen pitäisi olla yhtä mieltä siitä, mikä isäntä tekee pyynnön.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Vertaa sitä, mitä istunto kertoo, osoitteeseen, jonka tietokanta kirjasi samalle hetkelle. Kun palvelimen loki näyttää tunnelialtaan sijasta työpöydän aliverkon, kysymys lakkaa olemasta se, laukesiko sääntö, ja muuttuu kysymykseksi siitä, mikä isäntä teki pyynnön. Se on toinen tutkinta ja toinen omistaja.

Identiteetti muuttuu osoitteiden ohella

Jatkoyhteys todennetaan yleensä istunnon tunnisteella, tallennetulla tunnuksella tai sovelluksen palvelutilillä, ja resurssi kirjaa sen, mikä sille annettiin. Siksi palvelutilin tietokannassa näyttävä auditointijälki ei todista, että ihminen suoritti kyselyn. Se ei myöskään tunnista sitä ihmistä. Vain työpöydän oma istuntoloki yhdistää nämä kaksi tietuetta.

Valtuutus tapahtuu kahdesti ja toinen päätös tehdään eri syötteillä. Ensimmäinen myöntää nimetyn käyttäjän työpöytäkirjautumisen, toinen myöntää sen, mitä kyseisen käyttäjän tunniste tai sovelluksen tili voi tehdä resurssille. Tukipalvelun ryhmä, joka saa avata työpöydän, ei automaattisesti ole ryhmä, joka saa lukea asiakastaulukkoa.

Katso tunnistetta ja delegointipolkua ennen käyttömuistion kirjoittamista. Molemmat näkyvät istunnon sisältä, ja vain siellä vastaus ei ole arvaus.

whoami /groups
klist
query session

Jos sovellus käyttää palvelutiliä, sen oikeudet ratkaisevat jatkossa. Kyseisen tunnuksen vaihto kuuluu käytön tarkasteluun, ei myöhempään operatiiviseen ajatukseen.

Miksi suora polku on edelleen estetty, ja syystä

Kieltosääntö ei ole väärä vain siksi, että kohde on saavutettavissa toista kautta. Segmentointi arvioidaan lähteittäin, ja työpöytä sijaitsee segmentissä, joka sallittiin kauan ennen kuin kukaan ajatteli sitä reittinä tietokantaan. Mikään ei kiertänyt käytäntöä. Käytäntö vain kuvaa kahta eri lähdettä ja kahta eri lopputulosta.

Tarkastelun on vastattava siihen, mitä jokainen valtuutettu istunto kyseisessä isännässä voi käynnistää. Tallennettuja istuntoja sisältävät selaimet, liitetyt asemat, tunnuksia pitävät agentit ja paikallisesti kuuntelevat palvelut kaikki laajentavat työpöydän ulottuvuutta, eikä mikään niistä näy tiketissä, joka kirjautumisen myönsi. Se luettelo on todellinen käyttöoikeuspinta.

Luettele se testi-istunnon sisältä, ei taulukkolaskennasta. Kourallinen komentoja kattaa suurimman osan pinnasta.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Valitse raja tietoisesti

Kolme muotoa sopii eri tehtäviin, ja valinnan pitäisi seurata tehtävää eikä työkalua, joka sattuu olemaan olemassa. Julkaistu sovellus paljastaa yhden ohjelman omine oikeuksineen, täysi työpöytä paljastaa kaiken, mitä käyttäjän profiili voi tehdä, ja kapea lähderajoitteinen tietokantatili paljastaa yhden resurssin kokonaan ilman työpöytää. Kapein muoto, joka vielä suorittaa työn, on se, joka dokumentoidaan. Kaikki laajempi tarvitsee viereen kirjoitetun perusteen.

Yhtä raporttia varten julkaistu sovellus tai rajoitettu tili on pienempi myönnytys kuin yleinen työpöytä. Huoltoon, joka todella tarvitsee useita työkaluja, työpöytä voi olla oikea, mutta silloin hyväksyntä kuvaa koko isännän eikä yhtä sovellusta. Kysy resurssin omistajalta, mihin näistä hän suostuu.

Tietojen liikkuminen on erillinen kytkin. Leikepöytä, asemien uudelleenohjaus ja lataukset voivat viedä yrityksen tietoja asiakkaalle, eikä sovelluksen suorittaminen etänä pidä tietoja etänä itsestään.

Tarkista molemmat hyväksynnät ja poistamispolku

Tietueeseen kuuluu kaksi hyväksyntää: oikeus päästä työpöydälle ja avata se, sekä oikeus käyttää resursseja sen sisältä. Nimeä omistaja kummallekin ja pidä toinen näkyvänä jokaiselle, joka tarkastelee resurssia. Juuri toisesta merkinnästä auditoija kysyy, koska se kuvaa ulottuvuutta eikä sisäänpääsyä. Kirjoita molemmat ennen muutoksen hyväksymistä, ei ensimmäisen tapauksen jälkeen.

Testaa sitten poistaminen, koska katkaistu istunto voi elää syynsä pidempään. Istuntotaulukko on nopein paikka nähdä, mikä vielä toimii.

query session
query user
qwinsta /server:rdsh01.corp.internal

Asiakkaan katkaiseminen jättää etäistunnon käyntiin, ja sen verkkoyhteydet ja välimuistiin tallennetut tunnukset voivat pysyä käytettävinä, kunnes istunto päättyy. Kirjaudu ulos tai lopeta istunto nimenomaisesti ja varmista, että alavirran laskuri lakkaa etenemästä sen jälkeen. Poistamistesti, joka vain sulkee kannettavan kannen, ei todista mitään. Suorita sama testi kerran tilin ollessa poissa käytöstä ja kerran työpöytäoikeuden poistamisen jälkeen ja kirjaa sitten, mitä resurssi kussakin tapauksessa lokiin merkitsi.