Alerta entrante nun servidor VPN: lea o punto de observación

Un servidor detrás dunha VPN conserva as súas entradas públicas de servizo, e a xente segue atopándoas. O que chega á cola de alertas non é un achado, senón tres posibles, e significan cousas distintas. A primeira tarefa é separar un servizo exposto dunha credencial exposta.

Percorra os puntos de observación en orde. Detéñase cando a evidencia cambie de categoría, porque a etapa seguinte responde a outra pregunta.

Primeira etapa: que viu realmente a captura

Unha captura de paquetes rexistra o que era visible no seu propio punto do camiño. Ese punto pode estar antes dunha decisión de filtrado posterior. Un paquete capturado demostra que o tráfico chegou alí. Non demostra nada sobre o que ocorreu despois.

Fíxese tamén na interface. Unha captura no adaptador público e unha captura dentro do túnel describen puntos de chegada distintos, e unha alerta que cita o equivocado leva á conclusión equivocada.

Windows tamén filtra en varias capas da pila, así que o modelo ordenado no que a ferramenta de captura está na capa dous e o cortalumes na capa tres non sobrevive ao contacto cun produto real. A descrición xeral de Windows Filtering Platform describe o filtrado entre capas da pila, e por iso a orde de observación debe establecerse en lugar de supoñerse.

Segunda etapa: que establece o rexistro de descarte

Un rexistro de descarte di que un límite de política rexeitou ese paquete. É unha evidencia sólida. Tamén é unha evidencia estreita, porque cobre unha decisión nun límite. Nada máis da pila queda descrito por el.

Correlacione pola tupla e a marca de tempo. Mesma fonte, mesmo destino, mesmo porto, dentro do mesmo segundo. Sen esa coincidencia, un acontecemento de aspecto similar noutro rexistro é simplemente outro acontecemento, e emparellalos produce unha historia que ninguén pode defender.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Un porto pechado e un paquete descartado parecen idénticos desde fóra e completamente distintos nestas dúas saídas. Esa diferenza é toda a razón para ler o rexistro local.

Terceira etapa: que demostra o acontecemento de autenticación

Un acontecemento de autenticación di que un compoñente procesou a solicitude o suficiente como para rexistrar un resultado. É o único das tres etapas que fala de identidade, e non di nada sobre cantos paquetes chegaron antes.

Lea o contexto real do acontecemento. Un inicio de sesión fallido para unha conta que non existe é ruído de escaneo. Un inicio de sesión fallido para unha conta real desde unha fonte plausible é outra prioridade. Unha sesión correcta é unha categoría de incidente completamente distinta.

Vixíe tamén os nomes dos protocolos. RPC e RDP son servizos separados con portos separados. Un detector que vixía un dos dous non cobre o outro. As ferramentas que resumen a actividade de rede non sempre din cal dos dous produciu o acontecemento.

Unha mostra correlacionada vale máis ca un panel

Escolla unha proba autorizada, execútea a propósito e séguia de principio a fin: enderezo de destino e interface, enderezo de orixe real, porto do servizo, perfil e regra efectivos do cortalumes, e o resultado correspondente do servizo. Inclúa nesa cadea calquera asignación intermedia ou cortalumes na nube, porque unha regra permisiva alí pode anular unha regra local ben ordenada.

Despois separe as dúas obrigas. Se a administración debe ser só por VPN, impóñao tanto na ruta pública como na do túnel mentres mantén unha ruta de recuperación aprobada. Vixiar un intento rexeitado non é a mesma tarefa que decidir que debe aceptar o servidor.

Unha regra de xeografía ou un protocolo non relacionado bloqueado non substitúen atopar a entrada observada e a decisión que recibiu. Tampouco o fai unha VPN: encamiñar o tráfico saínte por un túnel non documenta nada sobre a autorización entrante.