VPN के किनारे Snort: जहाँ पैकेट दिखाई देते हैं

किसी दूरस्थ लैपटॉप से एक अनुरोध का पीछा करें और कोई भी उसकी जाँच कर सके इससे पहले वह कई सीमाओं को पार करता है। बाहरी टनल VPN प्रक्रिया पर समाप्त होती है, भीतरी पैकेट किसी इंटरफ़ेस पर दिखाई देता है, और भीतर का HTTPS सत्र एप्लिकेशन तक जारी रहता है। जाँच उपकरण केवल वही देखता है जो उस बिंदु पर दिखाई देता है जहाँ पैकेट उस तक पहुँचते हैं। उस बिंदु को तय किए बिना एक स्थापित करें, और लॉग गलत परत का वर्णन करेंगे।

एक पैकेट कई सीमाओं को पार करता है

VPN समाप्ति से पहले पर्यवेक्षक एक बाहरी कनेक्शन देखता है, आमतौर पर VPN पोर्ट की ओर, पते और आकार के साथ लेकिन भीतरी संरचना के बिना। समाप्ति के बाद भीतरी पते, पोर्ट और प्रोटोकॉल उस प्रसंस्करण बिंदु पर उपलब्ध होते हैं जो उन्हें सौंपता है। एप्लिकेशन का अपना TLS तब तक एन्क्रिप्टेड रहता है जब तक कोई अलग डिज़ाइन उसे समाप्त न करे। ये तीन दृश्यता स्तर हैं, और पैकेज का नाम आपको नहीं बताता कि आपने कौन सा खरीदा।

सीमाओं को चिह्नित करके पथ बनाएँ, फिर सेंसर को उस रेखा पर रखें जहाँ प्रश्न का उत्तर दिया जा सकता है, क्योंकि स्थान उत्तर का हिस्सा है। जिस सीमा का नाम आप नहीं बता सकते वह ऐसी सीमा है जिसका परीक्षण आप नहीं कर सकते।

देखें कि हर बिंदु पर क्या पढ़ने योग्य है

आर्किटेक्चर के किसी भी विवरण पर भरोसा करने से पहले इंटरफ़ेस और एक छोटा कैप्चर जाँचें।

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

लिंक सूची मौजूद टनल और भौतिक इंटरफ़ेस दिखाती है, और कैप्चर ठीक वही दिखाता है जो वहाँ जुड़ा सेंसर प्राप्त करेगा। अगर वह भीतरी पते दिखाता है लेकिन HTTP अनुरोध पंक्तियाँ नहीं, तो आप VPN समाप्ति के बाद हैं और अभी भी एप्लिकेशन के TLS के बाहर हैं। यह नेटवर्क पहचान के लिए सामान्य स्थान है और सामग्री जाँच के लिए गलत स्थान है। दूसरी सीमा क्या उजागर करती है इसकी तुलना करने के लिए बाहरी इंटरफ़ेस पर कैप्चर दोहराएँ।

निष्क्रिय पहचान अपने आप ब्लॉक नहीं कर सकती

Snort का जाँच दस्तावेज़ निष्क्रिय अवलोकन को इनलाइन संचालन से अलग करता है। निष्क्रिय मोड उस मार्ग पर रोके बिना ट्रैफ़िक पर चेतावनी दे सकता है।

snort -T -c /etc/snort/snort.lua

परीक्षण मोड सेंसर चलाए बिना कॉन्फ़िगरेशन को मान्य करता है, जो किसी भी तैनाती से पहले सही पहला कदम है। इनलाइन संचालन के लिए अनुकूल पैकेट-अधिग्रहण व्यवस्था और मेल खाता प्रवर्तन कॉन्फ़िगरेशन चाहिए, केवल एक अतिरिक्त फ़्लैग नहीं। इसलिए लॉग प्रविष्टि इस बात का प्रमाण नहीं है कि किसी अनुरोध को रोका गया, और इनलाइन जैसे विकल्प से शुरू की गई प्रक्रिया यह सिद्ध नहीं करती कि वास्तविक अग्रेषित प्रवाह उससे होकर गुजरता है। पुष्टि करें कि कार्यान्वयन वास्तव में पैकेट कहाँ सौंपता है।

तैनाती से पहले प्रवर्तन मोड चुनें

तय करें कि आवश्यकता दृश्यता है या रोकथाम, क्योंकि दोनों का विफलता व्यवहार अलग है। मृत निष्क्रिय सेंसर ट्रैफ़िक को बहने देता है और निगरानी में अंतराल पैदा करता है; मृत इनलाइन उपकरण ट्रैफ़िक को जाने दे सकता है या रोक सकता है, और यह चुनाव जानबूझकर होना चाहिए। एक अनुमत प्रवाह, एक प्रवाह जिसे अस्वीकार करना है, और सेंसर विफल होने पर आप जो व्यवहार चाहते हैं उस पर सहमत हों। प्रबंधन पुनर्प्राप्ति को जाँचे गए पथ से अलग रखें, ताकि सेंसर की गलती आपकी पहुँच भी न हटा दे।

फिर दृश्यमान ट्रैफ़िक, प्रसंस्करण बिंदु और प्रवर्तन व्यवहार दर्ज करें। ये तीन तथ्य, स्थापित पैकेज नहीं, बताते हैं कि तैनाती वास्तव में क्या करती है।