Snort a VPN peremén: ahol a csomagok láthatók

Kövessen egyetlen kérést egy távoli laptoppal, és az több határt szel át, mielőtt bármi megvizsgálhatná. A külső alagút a VPN-folyamatnál ér véget, a belső csomag megjelenik egy interfészen, és a benne futó HTTPS-munkamenet tovább tart az alkalmazásig. Egy vizsgálóeszköz csak azt látja, ami azon a ponton látható, ahol a csomagok elérik. Telepítsen egyet anélkül, hogy eldöntené ezt a pontot, és a naplók a rossz réteget írják le.

Egy csomag több határt szel át

A VPN lezárása előtt a megfigyelő egy külső kapcsolatot lát, jellemzően a VPN-porthoz, címekkel és méretekkel, de belső szerkezet nélkül. A lezárás után a belső címek, portok és protokollok azon a feldolgozási ponton érhetők el, amely átadja őket. Az alkalmazás saját TLS-e titkosítva marad, hacsak egy külön terv le nem zárja. Ez három láthatósági szint, és egy csomagnév nem mondja meg, melyiket vásárolta.

Rajzolja meg az útvonalat a határokkal megjelölve, majd helyezze az érzékelőt arra a vonalra, ahol a kérdés megválaszolható, mert a hely a válasz része. Egy határ, amelyet nem tud megnevezni, olyan határ, amelyet nem tud tesztelni.

Nézze meg, mi olvasható az egyes pontokon

Ellenőrizze az interfészt és egy rövid rögzítést, mielőtt bármilyen architektúraleírásnak hinne.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

A hivatkozáslista megmutatja a meglévő alagutakat és fizikai interfészeket, és a rögzítés pontosan azt mutatja, mit kapna egy ott csatlakoztatott érzékelő. Ha belső címeket mutat, de HTTP-kérés sorokat nem, akkor a VPN lezárása után van, és még mindig az alkalmazás TLS-én kívül. Ez a hálózati észlelés szokásos helye és a tartalomvizsgálat rossz helye. Ismételje meg a rögzítést a külső interfészen, hogy összehasonlítsa, mit tár fel a másik határ.

A passzív észlelés önmagában nem tud blokkolni

A Snort vizsgálati dokumentációja elválasztja a passzív megfigyelést a soron belüli működéstől. A passzív mód riaszthat a forgalomra anélkül, hogy megállítaná azon az útvonalon.

snort -T -c /etc/snort/snort.lua

A tesztmód az érzékelő futtatása nélkül érvényesíti a konfigurációt, ami a helyes első lépés bármilyen telepítés előtt. A soron belüli működéshez kompatibilis csomagbefogási elrendezés és megfelelő kényszerítési konfiguráció kell, nem csupán egy további kapcsoló. Ezért egy naplóbejegyzés nem bizonyíték arra, hogy egy kérést megakadályoztak, és egy soron belülinek látszó opcióval indított folyamat nem bizonyítja, hogy a tényleges továbbított folyam áthalad rajta. Erősítse meg, hol adja át a megvalósítás a csomagokat.

Válassza ki a kényszerítési módot a telepítés előtt

Döntse el, hogy a követelmény láthatóság vagy megelőzés, mert a kettő eltérő hibaeset-viselkedést hordoz. Egy meghibásodó passzív érzékelő folyni hagyja a forgalmat és megfigyelési rést hoz létre; egy meghibásodó soron belüli eszköz vagy átengedi a forgalmat, vagy megállítja, és ezt a választásnak szándékosnak kell lennie. Egyezzen meg egy engedélyezett folyamról, egy elutasítandó folyamról és a viselkedésről, amelyet az érzékelő meghibásodásakor szeretne. Tartsa a felügyeleti helyreállítást külön a vizsgált útvonaltól, hogy az érzékelő hibája ne vegye el a hozzáférését is.

Ezután rögzítse a látható forgalmat, a feldolgozási pontot és a kényszerítési viselkedést. Ez a három tény, nem a telepített csomag, írja le, mit tesz valójában a telepítés.