Miért vált ki egy megosztott VPN-kimenet olyan bejelentkezési figyelmeztetéseket, amelyeket nem te okoztál
A bejelentkezési blokk általában kockázati pontszám, nem ítélet az alagutadról. A megosztott kimenetek megváltoztatják, hogy kik mások szerepelnek még ebben a pontszámban, és ez mennyibe kerül nekik.
Nyisson meg egy ismerős oldalt VPN-en keresztül, és kapjon egy extra kihívást, és a csábító magyarázat az, hogy az alagutat felismerték. Valamit felismertek, de az nem ön volt. Az oldal jelek egy csoportját pontozta, amelyek egyike a forráscím, és ezt a címet olyan idegenekkel osztja meg, akik esetleg egy perccel korábban sikertelen bejelentkezéseket generáltak. Ha a döntést az ön kapcsolatáról szóló ítéletként olvassuk, az félreérti, mire való a pontszám.
Mit tud és mit nem tud eldönteni egy forráscím
Egy IP-cím egy adott pillanatban a hálózaton át vezető útvonalat ír le. Nem azonosít személyt, eszközt vagy akár egyetlen fiókot sem, és hordozószintű NAT vagy zsúfolt VPN-készlet esetén több ezer független munkamenetet is képviselhet egyszerre. Az az oldal, amely a címet identitásként kezeli, valójában hírnévként kezeli, ami statisztikai állítás, nem tény.
Két ember megoszthat egy kimenetet, és ellentétes bizonyítékokat produkálhat: az egyik sikeresen bejelentkezik egy második tényezővel, a másik negyven jelszót próbál ki. A cím azonos, ezért semmilyen csak a címre épülő szabály nem tudja megkülönböztetni őket, és bármely reakció, amelyet kivált, mindkettőre vonatkozik.
Ez nem érv a címek figyelmen kívül hagyása mellett. Ez érv amellett, hogy emlékezzünk, mit mér a jel, mert a VPN-bejelentkezések körüli meglepő viselkedés nagy része abból fakad, hogy egy kontrollt rossz granularitással alkalmaznak, nem pedig hibás megfigyelésből.
Miért bünteti a kimenet blokkolása az idegeneket
A címszintű blokk olcsó bevezetni és drága célba venni. Hatósugara minden munkamenet, amely e cím mögött van, ezért a megosztott címek és a NAT viselkedésének saját története van az üzemeltetési dokumentációban: ugyanez az érvelés jelenik meg az IETF megosztott forráscímekről és a címalapú szűrés mellékhatásairól szóló munkájában.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Vegye figyelembe a két kudarcot, amelyet egy blokk okoz. Egy ugyanazon kimenet mögötti legitim ügyféltől megtagadják a szolgáltatást, és olyan támogatási jegyet nyit, amely többe kerül, mint maga a visszaélés. Egy tényleges támadó továbblép a következő kimenetre egy több ezres készletben, és folytatja, miután csak egy újracsatlakozást költött.
Az arányosság a hiányzó lépés. Az ismételt sikertelen bejelentkezések, az automatizált kérések rohama és egy hitelesített jogosultságsértés három különböző esemény, és csak a második tűnik címalakú problémának. Ugyanazt az oldalszintű hálózati tilalmat mindháromra alkalmazni az, ahogy egy biztonsági kontrollból támogatási sor lesz.
Tegye a döntést oda, ahol a bizonyíték van
A fiókszintű kontrollok követik a fiókot a címeken át, ami megfelel annak az entitásnak, amely valóban fontos önnek. A sebességkorlátozás, az ismételt hibák utáni várakozási idő és az érzékeny műveletek fokozatos hitelesítése mind a fiókon vagy a műveleten hat, nem a hálózati útvonalon. Ez jobban illeszkedik ahhoz az entitáshoz, amelyet valójában véd. Elveszi a támadó ösztönzését is, hogy friss kimeneti címet keressen.
A NIST hitelesítési útmutatója ezeket kockázatértékelés bemeneteiként kezeli, és a jelek között felsorolja a címet, a földrajzi helyet és a kérés idejét, ami pontosan az a keret, amelyet érdemes kölcsönvenni: a jel tájékoztat egy döntést, nem helyettesít egy hitelesítőt. Olvassa ezt a listát bemenetekként, nem a betiltandó dolgok menüjeként. A hitelesítő továbbra is elvégzi a bizonyítást, a többi jel pedig csak eldönti, mennyi súrlódást helyezzenek köré.
Két tervezési korlát akadályozza meg, hogy a fiókszintű megközelítés a saját kiesésévé váljon. A sebességkorlátozásoknak biztonságos felülvizsgálati útra van szükségük, hogy a felhasználó jelenthesse a téves besorolást hitelesítő adatok közzététele nélkül, a fokozatos kihívásokra pedig nem lehet jelszóval vagy egy nem ellenőrzött támogatási kapcsolattartónak átadott egyszeri kóddal válaszolni.
Hogyan néz ki kívülről egy tisztességes szabályzat
Írja le, melyik döntést támogatja az egyes kontrollok, majd ellenőrizze, hogy a kontroll granularitása illeszkedik-e. A címkontrollok egy hálózatról érkező forgalommal kapcsolatos kérdésekre válaszolnak; a fiókkontrollok egy fiókkal kapcsolatos kérdésekre; az alkalmazásesemények a hitelesítés utáni viselkedéssel kapcsolatos kérdésekre. Egy szabályzat, amely mindhármat megnevezi, auditálható, és egy olyan, amely csak VPN-forgalmat nevez meg, nem az.
Ezután az eredményt mérje, ne a szabályok számát. Az engedélyezetlen kísérleteknek csökkenniük kell, a legitim felhasználóknak meg kell tartaniuk egy támogatott utat, és az ezer bejelentkezésre jutó támogatási kapcsolatok számának nem szabad nőnie. Egy blokk, amely javítja az első számot, miközben tönkreteszi a másik kettőt, elmozdította a problémát, nem megoldotta.
A VPN-kapcsolatok elfogadása és a visszaélés-ellenőrzések érvényesítése összeegyeztethető célok. A működő változat egy bemenetként kezeli a forráscímet több között, a bizonyítékokhoz illő legszűkebb kontrollt alkalmazza, és tisztességes utat hagy annak, akit tévesen soroltak be. A kudarcot valló változat gyanúsítottként kezel egy címet, és szabályzatnak nevezi.