VPN लॉगिन अलर्ट घुसपैठ अलर्ट नहीं हैं: सत्र पर नज़र रखें
असामान्य साइन-इन समीक्षा का कारण है, फैसला नहीं। घुसपैठ कहने से पहले प्रमाणीकरण रिकॉर्ड को सत्र से और फिर उस चीज़ से जोड़ें जिसे सत्र ने छुआ।
नए देश पर बजने वाला VPN अलर्ट निर्णायक लगता है, और आमतौर पर होता नहीं। प्रमाणीकरण कहता है कि एक प्रयास स्वीकार हुआ; सत्र कहता है कि कौन-सा कनेक्शन उसे ले गया; संसाधन रिकॉर्ड कहते हैं कि उस कनेक्शन के भीतर क्या हुआ। हर एक अलग सवाल का जवाब देता है। तीनों को मिला देने वाला नियम सोमवार को तीस टिकट बनाता है और शुक्रवार को असली मामला चूक जाता है।
विदेशी पता सवाल है, जवाब नहीं
यात्रा, दूसरे देश से निकलने वाले मोबाइल ऑपरेटर, कॉर्पोरेट वेब प्रॉक्सी और फिर से आवंटित कैरियर-ग्रेड NAT पूल—सब दिखने वाले स्रोत को खिसकाते हैं, हमलावर को नहीं। साइन-इन रिकॉर्ड दिखाता है कि कनेक्शन नेटवर्क में कहाँ से घुसा, यह नहीं कि डिवाइस किसके हाथ में था।
उलटी विफलता ज़्यादा बुरी है क्योंकि वह खामोश है। उपयोगकर्ता के अपने ही शहर से इस्तेमाल किया गया चुराया हुआ पासवर्ड ऐसा लॉगिन बनाता है जो भूगोल जाँच में हर पिछले लॉगिन से मेल खाता है।
भूगोल को फैसला मानने की एक नापी जा सकने वाली कीमत है। घूमते लैपटॉप समीक्षाओं की स्थिर धारा बनाते हैं, समीक्षक उन्हें पढ़े बिना बंद करना सीख जाते हैं, और यह आदत तब तक चलती है जब तक असली मामला उसी कतार में न आ जाए।
तीन प्रकार के रिकॉर्ड तीन अलग सवालों का जवाब देते हैं
जो उत्पाद तैनात हैं वे वास्तव में क्या छोड़ते हैं, वहाँ से शुरू करें, न कि उत्पाद ब्रोशर के इस दावे से कि वे क्या छोड़ सकते हैं। प्रमाणीकरण निर्णय दावा किए गए सत्यापन, विधि और परिणाम का नाम लेता है। सत्र जीवनचक्र कनेक्शन, गेटवे और आवंटित पते का नाम लेता है, शुरुआत से रुकने तक।
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
खाली खाना संग्रह में अंतराल है, बरी करने वाला फैसला नहीं। अगर संसाधन घटनाएँ कभी नहीं आतीं, तो संदिग्ध पढ़ाई का न होना मतलब है कि पाइपलाइन के पास बताने को कुछ नहीं, और खामोश डैशबोर्ड नेटवर्क नहीं, पाइपलाइन का वर्णन करता है। उन पर निर्भर नियम का वादा करने से पहले लिखें कि तैनाती वास्तव में कौन-से रिकॉर्ड बनाती है, और हर गुम फ़ीड के मालिक का नाम दें।
लेखा विवरण वह जगह है जहाँ सत्र जाँचने योग्य होते हैं। RFC 2866 में वर्णित RADIUS लेखा सत्र पहचानकर्ता से जुड़े शुरुआत, रुकने और बीच के अद्यतन ले जाता है, इसलिए शुरुआत वाला और रुकने के बिना सत्र रहस्य नहीं, वह अंतराल है जिसे आप नाम दे सकते हैं।
उपयोगकर्ता नाम पर नहीं, सत्र पर जोड़ें
एक खाता कानूनी रूप से एक साथ कई सत्र रखता है: एक लैपटॉप, एक फ़ोन, रात भर जुड़ा छोड़ा गया लैब मशीन। उस उपयोगकर्ता नाम की हर घटना जोड़ने से तीन डिवाइस एक कहानी में पिघल जाते हैं और फिर संयोजन को समझौता पढ़ा जाता है। आवंटित पते भी पुनर्चक्रित होते हैं, इसलिए सत्र खत्म होने के बाद भी पते से मेल खाता जोड़ पिछले महीने का डिवाइस आज की घटना में खींच लाता है। पते के पास सत्र कुंजी रखें और मेल को उस समय-खिड़की तक सीमित करें जितनी अवधि सत्र ने वास्तव में कवर की।
जहाँ अनुवाद सेवा के देखने से पहले मूल स्रोत हटा देता है, वहाँ उसी सीमा पर बची पहचान इस्तेमाल करें, जैसे पारस्परिक TLS विषय या एकल साइन-ऑन दावा। पते और व्यक्ति के बीच एक-से-एक मैपिंग गढ़ना अतिरिक्त कदमों के साथ वही गलती है।
बिना मालिक का अलर्ट डैशबोर्ड है
हर नियम को एक शर्त, उसे पैदा करने वाली निर्दोष व्याख्याएँ, खींचे जाने वाले सबूत और काम करने वाला व्यक्ति चाहिए। बार-बार अस्वीकृत प्रशासनिक कार्रवाई, विफल पासवर्ड की बौछार और खामोश संग्राहक तीन अलग घटनाएँ हैं, तीन अलग घड़ियों के साथ।
सूचना रोकथाम नहीं है, और वितरण सूची कुछ भी सीमित नहीं करती। जीवित सत्र बदलने के लिए वह घटक चाहिए जो यह कर सके, चाहे गेटवे कनेक्शन गिरा दे या पहचान प्रदाता सत्र रद्द कर दे। पुराने फ़ीड और गुम रुकने के रिकॉर्ड भी नियम के पाठ में आते हैं, क्योंकि एक दिन में कुछ न भेजने वाला संग्राहक डैशबोर्ड से ठीक खामोश नेटवर्क जैसा दिखता है। फ़र्क सिर्फ़ पाइपलाइन में ही दिखता है।
खामोश हफ़्ते पर भरोसा करने से पहले संग्रह पथ जाँचें
एक भी नियम ट्यून करने से पहले पाइपलाइन को शुरू से अंत तक साबित करें। नीचे दिए आदेश पुष्टि करते हैं कि प्रमाणीकरण और लेखा श्रोता सक्रिय हैं, कि परीक्षण क्रेडेंशियल सही कारण से अस्वीकार होता है और कि सत्र घटनाएँ अब भी आ रही हैं:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
परीक्षण से आया Access-Reject साबित करता है कि अनुरोध सर्वर तक पहुँचा और साझा रहस्य मेल खाया, और यही वह हिस्सा है जिसे लोग छोड़ देते हैं। इसके बजाय टाइमआउट रहस्य, श्रोता या उसके सामने के फ़िल्टर की ओर इशारा करता है, और जब तक वह ठीक न हो नीचे का हर अलर्ट असत्यापनीय है।
घड़ी की स्थिति मायने रखती है क्योंकि सहसंबंध खिड़कियाँ सहमति मान लेती हैं। कुछ मिनट भटका गेटवे बाकी साफ़ सत्र-जोड़ को असंभव दिखाता है, और समीक्षक खिड़की चौड़ी करके भरपाई करते हैं जब तक जोड़ भेद करना बंद न कर दे। नियम संपादित करने से पहले विचलन जाँचें।
फिर एक नियम को हानिरहित परीक्षण में चलाएँ: अप्रत्याशित पते से लॉगिन बनाएँ, पुष्टि करें कि अलर्ट बजता है, पुष्टि करें कि प्रतिक्रियाकर्ता सत्र और उसकी संसाधन घटनाएँ खींच सकता है, और पुष्टि करें कि टिकट सत्र पहचानकर्ता ले जाता है। सुसंगत कहानी बनाने वाला नियम पास होता है। लॉग पंक्तियों का ढेर बनाने वाला नियम अब भी डैशबोर्ड है। परिणाम नियम के आगे दर्ज करें ताकि अगली समीक्षा अनुमान नहीं, सबूत से शुरू हो।