Bejövő riasztás egy VPN-kiszolgálón: olvassa el a megfigyelési pontot

A VPN mögötti kiszolgáló megtartja nyilvános szolgáltatásbejegyzéseit, és az emberek folyamatosan megtalálják őket. A riasztási sorba nem egy lelet érkezik, hanem három lehetséges, és ezek különböző dolgokat jelentenek. Az első feladat a kitett szolgáltatás és a kitett hitelesítő adat szétválasztása.

Haladjon végig a megfigyelési pontokon sorrendben. Álljon meg, amikor a bizonyíték kategóriát vált, mert a következő szakasz más kérdésre válaszol.

Első szakasz: mit látott a rögzítés valójában

A csomagrögzítés azt rögzíti, ami a saját pontján az útvonalon látható volt. Ez a pont egy későbbi szűrési döntés előtt lehet. A rögzített csomag bizonyítja, hogy a forgalom odáig eljutott. Semmit sem bizonyít arról, ami ezután történt.

Figyeljen a csatolóra is. A nyilvános adapteren végzett rögzítés és a tunelen belüli rögzítés különböző érkezési pontokat ír le, és a rosszat idéző riasztás rossz következtetéshez vezet.

A Windows a verem több rétegében is szűr, ezért a rendezett modell, amelyben a rögzítőeszköz a második rétegen, a tűzfal pedig a harmadikon ül, nem éli túl a valódi termékkel való találkozást. A Windows Filtering Platform áttekintése a verem rétegein átnyúló szűrést írja le, és ezért a megfigyelés sorrendjét meg kell állapítani, nem feltételezni.

Második szakasz: mit állapít meg az elvetési bejegyzés

Az elvetési bejegyzés azt mondja, hogy egy szabályhatár elutasította ezt a csomagot. Ez erős bizonyíték. Szűk bizonyíték is, mert egy döntést fed le egy határon. Semmi másról nem ad leírást a veremben.

Korreláljon a tuple és az időbélyeg alapján. Ugyanaz a forrás, ugyanaz a cél, ugyanaz a port, ugyanazon másodpercen belül. E nélkül az egyezés nélkül egy hasonló esemény egy másik naplóban egyszerűen más esemény, és párosításuk olyan történetet ad, amelyet senki sem tud megvédeni.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

A zárt port és az elvetett csomag kívülről azonosnak látszik, ebben a két kimenetben pedig teljesen különbözik. Ez a különbség a teljes ok arra, hogy elolvassuk a helyi bejegyzést.

Harmadik szakasz: mit bizonyít a hitelesítési esemény

A hitelesítési esemény azt mondja, hogy egy összetevő elég messzire feldolgozta a kérést ahhoz, hogy eredményt rögzítsen. Ez az egyetlen a három szakasz közül, amely identitásról beszél, és semmit sem mond arról, hány csomag érkezett előtte.

Olvassa el az esemény tényleges kontextusát. Egy nem létező fiók sikertelen bejelentkezése szkennelési zaj. Egy valódi fiók sikertelen bejelentkezése hihető forrásból más prioritás. A sikeres munkamenet teljesen más incidenskategória.

Figyeljen a protokollnevekre is. Az RPC és az RDP külön szolgáltatás külön portokkal. Az egyiket figyelő detektor nem fedi le a másikat. A hálózati tevékenységet összegző eszközök nem mindig mondják meg, melyikük hozta létre az eseményt.

Egy korrelált minta legyőzi a műszerfalat

Válasszon egy engedélyezett tesztet, futtassa szándékosan, és kövesse végig: célcím és csatoló, valódi forráscím, szolgáltatási port, érvényes tűzfalprofil és szabály, valamint a megfelelő szolgáltatási eredmény. Vegye bele ebbe a láncba a felsőbb hozzárendelést vagy felhőtűzfalat, mert az ott engedélyező szabály felülírhat egy rendezett helyi szabályt.

Utána válassza szét a két kötelezettséget. Ha az adminisztrációnak csak VPN-en keresztül szabad történnie, kényszerítse ki a nyilvános és a tunel útvonalon is, miközben jóváhagyott helyreállítási útvonalat tart fenn. Egy elutasított kísérlet megfigyelése nem ugyanaz a feladat, mint eldönteni, mit fogadjon el a kiszolgáló.

Egy földrajzi szabály vagy egy blokkolt, nem kapcsolódó protokoll nem helyettesíti a megfigyelt belépés és a kapott döntés megtalálását. A VPN sem: a kimenő forgalom tunelen át történő irányítása semmit sem dokumentál a bejövő engedélyezésről.