A VPN-bejelentkezési riasztások nem behatolási riasztások: figyeld a munkamenetet

Egy új országra kioldó VPN-riasztás döntőnek tűnik, és általában nem az. A hitelesítés azt mondja, hogy egy kísérletet elfogadtak; a munkamenet azt, hogy melyik kapcsolat vitte; az erőforrás-rekordok azt, hogy mi történt azon a kapcsolaton belül. Mindegyik más kérdésre válaszol. Egy szabály, amely mindhármat összevonja, harminc jegyet termel hétfőn, és elvéti a valódi esetet pénteken.

Egy külföldi cím kérdés, nem válasz

Az utazás, a más országban kilépő mobilszolgáltatók, a vállalati webes proxy és az újraosztott carrier-grade NAT-készlet mind elmozdítják a látszólagos forrást anélkül, hogy a támadót elmozdítanák. A bejelentkezési rekord azt tükrözi, honnan lépett be a kapcsolat a hálózatba, nem azt, ki tartotta az eszközt.

A fordított hiba rosszabb, mert csendes. A felhasználó saját városából használt ellopott jelszó olyan bejelentkezést ad, amely a földrajzi ellenőrzésben minden korábbival egyezik.

A földrajzot ítéletként kezelni mérhető költséggel jár. Az utazó laptopok folyamatos ellenőrzési áramlást generálnak, az ellenőrök megtanulják olvasás nélkül bezárni őket, és a szokás addig él, amíg egy valódi eset ugyanabba a sorba nem kerül.

Három rekordtípus három különböző kérdésre válaszol

Abból indulj ki, amit a telepített termékek ténylegesen kibocsátanak, nem abból, amit egy termékismertető sugall, hogy kibocsáthatnának. A hitelesítési döntés megnevezi az állított identitást, a módszert és az eredményt. A munkamenet életciklusa megnevezi a kapcsolatot, az átjárót és a kiosztott címet, a kezdettől a leállásig.

Az üres cella gyűjtési hiány, nem felmentés. Ha az erőforrás-események soha nem érkeznek meg, a gyanús olvasás hiánya azt jelenti, hogy a csővezetéknek nincs mit jelentenie, és a csendes irányítópult a csővezetéket írja le, nem a hálózatot. Írd fel, milyen rekordokat állít elő a telepítés valójában, mielőtt olyan szabályt ígérsz, amely ezektől függ, és nevezd meg minden hiányzó hírcsatorna gazdáját.

Az elszámolási részletek az a pont, ahol a munkamenetek ellenőrizhetővé válnak. Az RFC 2866 szabványban leírt RADIUS-elszámolás munkamenet-azonosítóhoz kötött kezdő, leállító és köztes frissítéseket hordoz, így a kezdéssel és leállás nélküli munkamenet hiány, amelyet megnevezhetsz rejtély helyett.

A munkamenethez kapcsolj, ne a felhasználónévhez

Egy fiók jogszerűen több munkamenetet tart egyszerre: egy laptop, egy telefon és egy éjszakára csatlakoztatva hagyott laboratóriumi gép. Az adott felhasználónév minden eseményének összekapcsolása három eszközt olvaszt egy történetbe, majd a kombinációt kompromittálásként olvassa. A kiosztott címek is újrahasznosulnak, ezért egy illesztés, amely a munkamenet vége után is egyezik egy címmel, a múlt havi eszközt rántja a mai incidensbe. Tartsd a munkamenet-kulcsot a cím mellett, és korlátozd az egyezést arra az időablakra, amelyet a munkamenet valóban lefedett.

Ahol a fordítás eltávolítja az eredeti forrást, mielőtt egy szolgáltatás látná, használd azt az identitást, amely ezen a határon túlél, például egy kölcsönös TLS-tárgyat vagy egy egyszeri bejelentkezési állítást. Egy-az-egyhez leképezést kitalálni egy cím és egy személy között ugyanaz a hiba extra lépésekkel.

A gazda nélküli riasztás irányítópult

Minden szabálynak kell feltétel, az azt előidéző ártalmatlan magyarázatok, a beszerzendő bizonyítékok és a cselekvő személy. Az ismételt elutasított adminisztratív művelet, a sikertelen jelszavak rohama és a néma gyűjtő három különböző incidens három különböző órával.

Az értesítés nem elszigetelés, és egy terjesztési lista semmit sem korlátoz. Egy élő munkamenet megváltoztatásához az a komponens kell, amely képes rá, akár az átjáró, amely eldobja a kapcsolatot, akár az identitásszolgáltató, amely visszavonja a munkamenetet. Az elavult hírcsatornák és a hiányzó leállítási rekordok szintén a szabály szövegéhez tartoznak, mert egy gyűjtő, amely egy napja semmit sem küldött, az irányítópultról pontosan úgy néz ki, mint egy csendes hálózat. A különbség csak magában a csővezetékben látszik.

Ellenőrizd a gyűjtési útvonalat, mielőtt megbízol egy csendes hétben

Bizonyítsd a csővezetéket elejétől a végéig, mielőtt egyetlen szabályt hangolnál. Az alábbi parancsok megerősítik, hogy a hitelesítési és elszámolási figyelők futnak, hogy a teszt-hitelesítő adat a megfelelő okból utasíttatik el, és hogy a munkamenet-események továbbra is érkeznek:

ss -uanp | grep -E ':(1812|1813)\b'
radtest alice 'not-the-password' 127.0.0.1 0 testing123
journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated'
timedatectl | grep -E 'System clock|synchronized'

A tesztből kapott Access-Reject bizonyítja, hogy a kérés elérte a szervert, és a közös titok egyezett, és éppen ezt a részt hagyják ki az emberek. Az időtúllépés ehelyett a titokra, a figyelőre vagy egy előtte lévő szűrőre mutat, és minden alsóbb riasztás ellenőrizhetetlen, amíg ezt nem javítják.

Az óra állapota számít, mert a korrelációs ablakok egyetértést feltételeznek. Egy percekkel eltérő átjáró egyébként tiszta munkamenet-illesztést lehetetlennek láttat, és az ellenőrök az ablak szélesítésével kompenzálnak, amíg az illesztés már nem különböztet. Ellenőrizd az eltérést, mielőtt szerkeszted a szabályt.

Utána tegyél egy szabályt ártalmatlan teszt alá: generálj bejelentkezést egy váratlan címről, erősítsd meg, hogy a riasztás kiold, erősítsd meg, hogy a reagáló le tudja kérni a munkamenetet és annak erőforrás-eseményeit, és erősítsd meg, hogy a jegy hordozza a munkamenet-azonosítót. Egy összefüggő történetet adó szabály átmegy. Egy rakás naplósort adó szabály még mindig irányítópult. Rögzítsd az eredményt a szabály mellett, hogy a következő ellenőrzés bizonyítékból induljon ki, ne megérzésből.