Snort בקצה ה-VPN: היכן החבילות נראות

עקבו אחרי בקשה אחת ממחשב נייד מרוחק והיא חוצה כמה גבולות לפני שמשהו יכול לבדוק אותה. המנהרה החיצונית מסתיימת בתהליך ה-VPN, החבילה הפנימית מופיעה בממשק, והפעלת ה-HTTPS שבפנים ממשיכה אל היישום. כלי בדיקה רואה רק את מה שנראה בנקודה שאליה החבילות מגיעות. התקינו אחד בלי להחליט על הנקודה הזו, והרשומות יתארו את השכבה הלא נכונה.

חבילה אחת חוצה כמה גבולות

לפני סיום ה-VPN הצופה רואה חיבור חיצוני אחד, בדרך כלל אל פורט ה-VPN, עם כתובות וגדלים אבל בלי מבנה פנימי. אחרי הסיום הכתובות, הפורטים והפרוטוקולים הפנימיים זמינים בנקודת העיבוד שמוסרת אותם. ה-TLS של היישום עצמו נשאר מוצפן אלא אם תכנון נפרד מסיים אותו. אלה שלוש רמות נראות, ושם של חבילה לא אומר לכם איזו מהן קניתם.

ציירו את המסלול עם הגבולות מסומנים, ואז הניחו את החיישן על הקו שבו אפשר לענות על השאלה, כי המיקום הוא חלק מהתשובה. גבול שאינכם יכולים למנות הוא גבול שאינכם יכולים לבדוק.

ראו מה קריא בכל נקודה

בדקו את הממשק ולכידה קצרה לפני שתסמכו על תיאור כלשהו של הארכיטקטורה.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

רשימת הקישורים מציגה המנהרות והממשקים הפיזיים הקיימים, והלכידה מציגה בדיוק מה חיישן המחובר שם יקבל. אם היא מציגה כתובות פנימיות אבל לא שורות בקשת HTTP, אתם אחרי סיום ה-VPN ועדיין מחוץ ל-TLS של היישום. זה המקום הרגיל לזיהוי רשת והמקום הלא נכון לבדיקת תוכן. חזרו על הלכידה בממשק החיצוני כדי להשוות מה הגבול האחר חושף.

זיהוי סביל אינו יכול לחסום בעצמו

תיעוד הבדיקה של Snort מפריד בין תצפית סבילה לבין פעולה בתוך הקו. מצב סביל יכול להתריע על תעבורה בלי לעצור אותה במסלול הזה.

snort -T -c /etc/snort/snort.lua

מצב הבדיקה מאמת את התצורה בלי להריץ את החיישן, וזהו הצעד הראשון הנכון לפני כל פריסה. פעולה בתוך הקו דורשת סידור תואם ללכידת חבילות ותצורת אכיפה מתאימה, לא רק דגל נוסף. לכן רשומת יומן אינה הוכחה שבקשה נמנעה, ותהליך שהופעל עם אפשרות שנראית כמו בתוך הקו אינו מוכיח שהזרימה האמיתית המועברת עוברת דרכו. אשרו היכן המימוש מוסר את החבילות בפועל.

בחרו את מצב האכיפה לפני הפריסה

החליטו אם הדרישה היא נראות או מניעה, כי לשתיהן התנהגות כשל שונה. חיישן סביל שמת משאיר את התעבורה זורמת ויוצר פער ניטור; התקן בתוך הקו שמת יכול להעביר את התעבורה או לעצור אותה, והבחירה הזו חייבת להיות מכוונת. הסכימו על זרימה אחת מותרת, זרימה אחת שחייבת להידחות, וההתנהגות שתרצו כשהחיישן נכשל. החזיקו את שחזור הניהול בנפרד מהמסלול הנבדק, כדי שטעות בחיישן לא תסיר גם את הגישה שלכם.

אחר כך תעדו את התעבורה הנראית, את נקודת העיבוד ואת התנהגות האכיפה. שלוש העובדות האלה, ולא החבילה המותקנת, מתארות מה הפריסה עושה בפועל.