VPN-kirjautumishälytykset eivät ole tunkeutumishälytyksiä: seuraa istuntoa
Epätavallinen kirjautuminen on tarkistuksen aihe, ei tuomio. Yhdistä todennusmerkintä istuntoon ja sitten siihen, mitä istunto kosketti, ennen kuin kutsut sitä tunkeutumiseksi.
Uuteen maahan laukeava VPN-hälytys tuntuu lopulliselta, eikä se yleensä ole. Todennus kertoo, että yritys hyväksyttiin; istunto kertoo, mikä yhteys sen kuljetti; resurssimerkinnät kertovat, mitä kyseisen yhteyden sisällä tapahtui. Jokainen vastaa eri kysymykseen. Sääntö, joka sulauttaa kaikki kolme, tuottaa maanantaina kolmekymmentä tikettiä ja jättää todellisen tapauksen huomaamatta perjantaina.
Ulkomainen osoite on kysymys, ei vastaus
Matkustaminen, toisessa maassa ulos tulevat matkapuhelinoperaattorit, yrityksen verkkoproxy ja uudelleen jaettu carrier-grade NAT -pooli siirtävät kaikki näennäistä lähdettä siirtämättä hyökkääjää. Kirjautumismerkintä heijastaa, mistä yhteys tuli verkkoon, ei sitä kuka piti laitetta.
Käänteinen epäonnistuminen on pahempi, koska se on hiljainen. Käyttäjän omasta kaupungista käytetty varastettu salasana tuottaa kirjautumisen, joka täsmää maantieteen tarkistuksessa kaikkien aiempien kirjautumisten kanssa.
Maantieteen pitäminen tuomiona maksaa mitattavasti. Matkustavat kannettavat tuottavat tasaisen tarkistusvirran, tarkistajat oppivat sulkemaan ne lukematta, ja tapa säilyy kunnes todellinen tapaus saapuu samaan jonoon.
Kolme merkintätyyppiä vastaa kolmeen eri kysymykseen
Aloita siitä, mitä käyttöönotetut tuotteet todella lähettävät, ei siitä, mitä tuote-esite antaa ymmärtää niiden voivan lähettää. Todennuspäätös nimeää väitetyn identiteetin, menetelmän ja tuloksen. Istunnon elinkaari nimeää yhteyden, yhdyskäytävän ja määritetyn osoitteen alusta pysäytykseen.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Tyhjä solu on keräysaukko, ei vapauttava tuomio. Jos resurssitapahtumat eivät koskaan saavu, epäilyttävän lukemisen puuttuminen tarkoittaa, että putkella ei ole mitään raportoitavaa, ja hiljainen kojelauta kuvaa putkea eikä verkkoa. Kirjoita muistiin, mitkä merkinnät käyttöönotto todella tuottaa, ennen kuin lupaat niistä riippuvan säännön, ja nimeä jokaisen puuttuvan syötteen omistaja.
Laskentatiedot ovat paikka, jossa istunnoista tulee tarkistettavia. Standardissa RFC 2866 kuvattu RADIUS-laskenta kuljettaa istunnon tunnisteeseen sidottuja aloitus-, pysäytys- ja väliaikapäivityksiä, joten istunto, jolla on aloitus ilman pysäytystä, on aukko, jonka voit nimetä arvoituksen sijaan.
Yhdistä istuntoon, älä käyttäjänimeen
Yksi tili pitää laillisesti useita istuntoja yhtä aikaa: kannettava, puhelin ja laboratoriokone, joka jätettiin yöksi yhteyteen. Kaikkien kyseisen käyttäjänimen tapahtumien yhdistäminen sulauttaa kolme laitetta yhdeksi tarinaksi ja lukee yhdistelmän sitten kompromissina. Myös määritetyt osoitteet kierrätetään, joten liitos, joka täsmää osoitteeseen vielä istunnon päätyttyä, raahaa viime kuun laitteen tämän päivän tapaukseen. Pidä istuntoavain osoitteen vieressä ja rajaa täsmäytys siihen aikaväliin, jonka istunto todella kattoi.
Kun käännös poistaa alkuperäisen lähteen ennen kuin palvelu näkee sen, käytä identiteettiä, joka säilyy sillä rajalla, kuten keskinäisen TLS:n subjekti tai kertakirjautumisen väite. Yksi-yhteen-kartoituksen keksiminen osoitteen ja henkilön välille on sama virhe lisäaskelin.
Hälytys ilman omistajaa on kojelauta
Jokainen sääntö tarvitsee ehdon, sen tuottavat harmittomat selitykset, kerättävät todisteet ja henkilön, joka toimii. Toistuva hylätty hallinnollinen toimenpide, epäonnistuneiden salasanojen purskahdus ja äänetön kerääjä ovat kolme eri tapausta, joilla on kolme eri kelloa.
Ilmoitus ei ole torjuntaa, eikä jakelulista rajoita mitään. Elävän istunnon muuttaminen vaatii komponentin, joka pystyy siihen, olipa se yhdyskäytävä, joka pudottaa yhteyden, tai identiteetintarjoaja, joka peruu istunnon. Vanhentuneet syötteet ja puuttuvat pysäytysmerkinnät kuuluvat myös säännön tekstiin, koska kerääjä, joka ei ole lähettänyt mitään vuorokauteen, näyttää kojelaudalta täsmälleen hiljaiselta verkolta. Ero näkyy vain itse putkessa.
Tarkista keräyspolku ennen kuin luotat hiljaiseen viikkoon
Todista putki päästä päähän ennen kuin säädät yhtäkään sääntöä. Alla olevat komennot vahvistavat, että todennus- ja laskentakuuntelijat ovat käynnissä, että testitunnus hylätään oikeasta syystä ja että istuntotapahtumat saapuvat edelleen:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Testin Access-Reject todistaa, että pyyntö saavutti palvelimen ja jaettu salaisuus täsmäsi, ja juuri sen osan ihmiset ohittavat. Aikakatkaisu sen sijaan osoittaa salaisuuteen, kuuntelijaan tai sen edessä olevaan suodattimeen, ja jokainen alempi hälytys on vahvistamaton, kunnes se korjataan.
Kellon tila on tärkeä, koska korrelaatioikkunat olettavat yksimielisyyttä. Minuutteja poikkeava yhdyskäytävä saa muuten puhtaan istuntoliitoksen näyttämään mahdottomalta, ja tarkistajat kompensoivat levenämällä ikkunaa, kunnes liitos lakkaa erottamasta. Tarkista poikkeama ennen säännön muokkaamista.
Aja sitten yksi sääntö harmittomassa testissä: luo kirjautuminen odottamattomasta osoitteesta, vahvista että hälytys laukeaa, vahvista että reagoija voi hakea istunnon ja sen resurssitapahtumat, ja vahvista että tiketti kantaa istunnon tunnisteen. Sääntö, joka tuottaa yhtenäisen tarinan, läpäisee. Sääntö, joka tuottaa pinon lokirivejä, on yhä kojelauta. Kirjaa tulos säännön viereen, jotta seuraava tarkistus alkaa todisteista eikä intuitiosta.