Snort VPN:n reunalla: missä paketit ovat näkyvissä

Seuraa yhtä pyyntöä etätietokoneelta, ja se ylittää useita rajoja ennen kuin mikään voi tarkastaa sen. Ulompi tunneli päättyy VPN-prosessiin, sisempi paketti ilmestyy rajapinnalle ja sisällä oleva HTTPS-istunto jatkuu sovellukseen. Tarkastustyökalu näkee vain sen, mikä on näkyvissä pisteessä, johon paketit saapuvat sille. Asenna sellainen päättämättä tätä pistettä, ja lokit kuvaavat väärää kerrosta.

Yksi paketti ylittää useita rajoja

Ennen VPN:n päättämistä tarkkailija näkee yhden ulomman yhteyden, tyypillisesti VPN-porttiin, osoitteineen ja kokoineen, mutta ilman sisäistä rakennetta. Päättämisen jälkeen sisemmät osoitteet, portit ja protokollat ovat saatavilla siinä käsittelypisteessä, joka luovuttaa ne. Sovelluksen oma TLS pysyy salattuna, ellei erillinen suunnittelu päätä sitä. Nämä ovat kolme näkyvyystasoa, eikä paketin nimi kerro, minkä ostit.

Piirrä polku rajat merkittyinä ja aseta sitten anturi viivalle, jossa kysymykseen voidaan vastata, koska sijainti on osa vastausta. Raja, jota et voi nimetä, on raja, jota et voi testata.

Katso, mikä on luettavissa kussakin pisteessä

Tarkista rajapinta ja lyhyt tallenne ennen kuin luotat mihinkään arkkitehtuurin kuvaukseen.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Linkkilista näyttää olemassa olevat tunnelit ja fyysiset rajapinnat, ja tallenne näyttää täsmälleen, mitä sinne liitetty anturi vastaanottaisi. Jos se näyttää sisempiä osoitteita mutta ei HTTP-pyyntörivejä, olet VPN:n päättämisen jälkeen ja yhä sovelluksen TLS:n ulkopuolella. Se on tavallinen paikka verkon havainnoinnille ja väärä paikka sisällön tarkastukselle. Toista tallenne ulommalla rajapinnalla vertaillaksesi, mitä toinen raja paljastaa.

Passiivinen havainnointi ei voi estää yksinään

Snortin tarkastusdokumentaatio erottaa passiivisen havainnoinnin rivinsisäisestä toiminnasta. Passiivinen tila voi varoittaa liikenteestä pysäyttämättä sitä tällä polulla.

snort -T -c /etc/snort/snort.lua

Testitila validoi kokoonpanon suorittamatta anturia, mikä on oikea ensimmäinen askel ennen mitä tahansa käyttöönottoa. Rivinsisäinen toiminta vaatii yhteensopivan pakettien hankintajärjestelyn ja vastaavan valvontakokoonpanon, ei vain ylimääräistä valitsinta. Lokimerkintä ei siis ole todiste siitä, että pyyntö estettiin, eikä rivinsisäiseltä vaikuttavalla valinnalla käynnistetty prosessi todista, että todellinen edelleen lähetetty virta kulkee sen kautta. Vahvista, missä toteutus todella luovuttaa paketit.

Valitse valvontatila ennen käyttöönottoa

Päätä, onko vaatimus näkyvyys vai estäminen, koska niillä on erilainen vikatilanteen käyttäytyminen. Passiivinen anturi, joka lakkaa toimimasta, jättää liikenteen virtaamaan ja tuottaa seurantakatkoksen; rivinsisäinen laite, joka lakkaa toimimasta, voi joko päästää liikenteen läpi tai pysäyttää sen, ja tämän valinnan on oltava tarkoituksellinen. Sovi yhdestä sallitusta virrasta, yhdestä virrasta joka on hylättävä, ja käyttäytymisestä, jonka haluat anturin vikaantuessa. Pidä hallinnan palautus erillään tarkastetusta polusta, jotta anturin virhe ei poista myös pääsyäsi.

Kirjaa sitten näkyvä liikenne, käsittelypiste ja valvontakäyttäytyminen. Nämä kolme tosiasiaa, eivät asennettu paketti, kuvaavat, mitä käyttöönotto todella tekee.