Dolazni alarm na VPN poslužitelju: pročitajte točku promatranja

Poslužitelj iza VPN-a drži svoje javne unose usluga, a ljudi ih stalno pronalaze. U red alarma ne dolazi jedan nalaz nego tri moguća, i oni znače različite stvari. Prvi je posao odvojiti izloženu uslugu od izloženih vjerodajnica.

Prođite kroz točke promatranja redom. Zaustavite se kada dokazi promijene kategoriju, jer sljedeća faza odgovara na drugo pitanje.

Prva faza: što je snimanje zapravo vidjelo

Snimanje paketa bilježi što je bilo vidljivo na njegovoj vlastitoj točki na putu. Ta točka može stajati prije kasnije odluke o filtriranju. Snimljeni paket dokazuje da je promet stigao tamo. Ne dokazuje ništa o tome što se dogodilo poslije.

Obratite pozornost i na sučelje. Snimanje na javnom adapteru i snimanje unutar tunela opisuju različite točke dolaska, a alarm koji citira pogrešnu vodi do pogrešnog zaključka.

Windows također filtrira na nekoliko slojeva stoga, pa uredan model u kojem alat za snimanje sjedi na drugom sloju, a vatrozid na trećem, ne preživljava susret sa stvarnim proizvodom. Pregled Windows Filtering Platform opisuje filtriranje kroz slojeve stoga, i zato se redoslijed promatranja mora utvrditi, a ne pretpostaviti.

Druga faza: što utvrđuje zapis o odbacivanju

Zapis o odbacivanju kaže da je granica pravila odbila taj paket. To je jak dokaz. To je i uzak dokaz, jer pokriva jednu odluku na jednoj granici. Ništa drugo u stogu nije njime opisano.

Povežite po tortki i vremenskoj oznaci. Isti izvor, isto odredište, isti port, unutar iste sekunde. Bez tog podudaranja, sličan događaj u drugom zapisu samo je drugi događaj, a njihovo uparivanje stvara priču koju nitko ne može obraniti.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Zatvoren port i odbačen paket izgledaju jednako izvana i posve različito u ova dva izlaza. Ta razlika je cijeli razlog za čitanje lokalnog zapisa.

Treća faza: što dokazuje događaj provjere autentičnosti

Događaj provjere autentičnosti kaže da je komponenta obradila zahtjev dovoljno da zabilježi rezultat. Jedini je od triju faza koji govori o identitetu i ne kaže ništa o tome koliko je paketa stiglo prije njega.

Pročitajte stvarni kontekst događaja. Neuspješna prijava za račun koji ne postoji šum je od skeniranja. Neuspješna prijava za stvarni račun s uvjerljivim izvorom druga je prioriteta. Uspješna sesija posve je druga kategorija incidenta.

Pazite i na nazive protokola. RPC i RDP odvojene su usluge s odvojenim portovima. Detektor koji nadzire jednu ne pokriva drugu. Alati koji sažimaju mrežnu aktivnost ne navode uvijek koja je od dviju proizvela događaj.

Jedan povezani uzorak pobjeđuje nadzornu ploču

Odaberite jedan odobren test, pokrenite ga namjerno i pratite ga od početka do kraja: odredišna adresa i sučelje, stvarna izvorna adresa, port usluge, djelotvorni profil i pravilo vatrozida te odgovarajući rezultat usluge. Uključite u taj lanac svako preslikavanje uzvodno ili vatrozid u oblaku, jer dopuštajuće pravilo tamo može nadjačati uredno lokalno.

Zatim razdvojite dvije obveze. Ako administracija treba biti samo putem VPN-a, provedite to i na javnom i na tunelskom putu, zadržavajući odobren put oporavka. Nadziranje odbijenog pokušaja nije isti posao kao odlučivanje što poslužitelj treba prihvatiti.

Geografsko pravilo ili blokiran nepovezani protokol ne zamjenjuju pronalaženje promatranog ulaza i odluke koju je dobio. Ne zamjenjuje ih ni VPN: usmjeravanje odlaznog prometa kroz tunel ne dokumentira ništa o dolaznom ovlaštenju.