Os avisos de inicio de sesión VPN non son avisos de intrusión: vixía a sesión
Un inicio de sesión inusual é un motivo de revisión, non un veredicto. Vincula o rexistro de autenticación a unha sesión e despois ao que tocou, antes de cualificalo de intrusión.
Un aviso de VPN que salta por un país novo parece concluínte, e normalmente non o é. A autenticación di que se aceptou un intento; a sesión di que conexión o levou; os rexistros de recursos din que ocorreu dentro desa conexión. Cada un responde a unha pregunta distinta. Unha regra que fusiona os tres produce trinta tíckets un luns e deixa pasar o caso real un venres.
Un enderezo estranxeiro é unha pregunta, non unha resposta
As viaxes, os operadores móbiles que saen por outro país, un proxy web corporativo e un conxunto de NAT de operador reasignado moven todos a orixe aparente sen mover o atacante. O rexistro de inicio de sesión reflicte por onde entrou a conexión na rede, non quen tiña o dispositivo.
O fallo inverso é peor porque é silencioso. Un contrasinal roubado usado desde a cidade do propio usuario produce un inicio de sesión que coincide con todos os anteriores na comprobación xeográfica.
Tratar a xeografía como o veredicto ten un custo medible. Os portátiles que viaxan xeran un fluxo constante de revisións, os revisores aprenden a pechalas sen lelas, e o hábito sobrevive ata que un caso real chega á mesma cola.
Tres tipos de rexistro responden tres preguntas distintas
Comeza polo que emiten os produtos despregados, non polo que suxire un folleto que poderían emitir. A decisión de autenticación nomea a identidade afirmada, o método e o resultado. O ciclo de vida da sesión nomea a conexión, a pasarela e o enderezo asignado, desde o inicio ata a detención.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Unha cela baleira é un oco de recollida, non unha absolución. Se os eventos de recursos nunca chegan, a ausencia dunha lectura sospeitosa significa que a canalización non ten nada que informar, e un panel silencioso describe a canalización e non a rede. Anota que rexistros produce realmente o despregamento antes de prometer unha regra que dependa deles, e nomea o dono de cada fluxo que falte.
O detalle contable é onde as sesións se volven comprobables. A contabilidade RADIUS descrita en RFC 2866 leva actualizacións de inicio, parada e intermedias ligadas a un identificador de sesión, así que unha sesión con inicio e sen parada é un oco que podes nomear en lugar dun misterio.
Une pola sesión, non polo nome de usuario
Unha conta mantén lexitimamente varias sesións á vez: un portátil, un teléfono, unha máquina de laboratorio deixada conectada toda a noite. Unir cada evento dese nome de usuario fusiona tres dispositivos nunha historia e despois le a combinación como compromiso. Os enderezos asignados tamén se reciclan, así que unha unión que segue coincidindo cun enderezo despois de que a sesión remate arrastra o dispositivo do mes pasado ao incidente de hoxe. Conserva a clave de sesión xunto ao enderezo e limita a coincidencia á xanela temporal que a sesión cubriu realmente.
Onde a tradución elimina a orixe orixinal antes de que un servizo a vexa, usa a identidade que sobrevive nesa fronteira, como un suxeito de TLS mutuo ou unha aserción de inicio de sesión único. Inventar unha correspondencia un a un entre un enderezo e unha persoa é o mesmo erro con pasos extra.
Un aviso sen dono é un panel
Cada regra necesita unha condición, as explicacións benignas que a producen, a evidencia que hai que reunir e a persoa que actúa. Unha operación administrativa denegada repetida, unha ráfaga de contrasinais fallidos e un recolledor silencioso son tres incidentes distintos con tres reloxos distintos.
A notificación non é a contención, e unha lista de distribución non restrinxe nada. Cambiar unha sesión viva require o compoñente que pode facelo, sexa a pasarela que corta a conexión ou o provedor de identidade que revoga a sesión. Os fluxos obsoletos e os rexistros de parada ausentes tamén pertencen ao texto da regra, porque un recolledor que non enviou nada durante un día vese exactamente como unha rede silenciosa desde o panel. A diferenza só se ve na propia canalización.
Comproba o camiño de recollida antes de confiar nunha semana tranquila
Demostra a canalización de extremo a extremo antes de axustar unha soa regra. Os comandos seguintes confirman que os escoitadores de autenticación e contabilidade están activos, que unha credencial de proba se rexeita polo motivo correcto e que os eventos de sesión seguen chegando:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Un Access-Reject da proba demostra que a petición chegou ao servidor e que o segredo compartido coincidiu, e esa é a parte que a xente se salta. Un tempo de espera, en cambio, apunta ao segredo, ao escoitador ou a un filtro diante del, e cada aviso posterior é inverificable ata que se corrixa.
O estado do reloxo importa porque as xanelas de correlación presupoñen acordo. Unha pasarela desviada uns minutos fai que unha unión de sesión limpa pareza imposible, e os revisores compensan ampliando a xanela ata que a unión deixa de discriminar. Comproba a desviación antes de editar a regra.
Despois pon unha regra a proba cun test inofensivo: xera un inicio de sesión desde un enderezo inesperado, confirma que o aviso salta, confirma que o respondedor pode extraer a sesión e os seus eventos de recursos, e confirma que o tícket leva o identificador de sesión. Unha regra que produce unha historia coherente pasa. Unha regra que produce un montón de liñas de rexistro segue sendo un panel. Anota o resultado xunto á regra para que a próxima revisión comece con evidencia e non con intuición.