Մուտքային ահազանգ VPN սերվերի վրա. կարդացեք դիտարկման կետը

VPN-ի հետևում գտնվող սերվերը պահում է իր հանրային ծառայության գրառումները, և մարդիկ շարունակում են գտնել դրանք։ Ծանուցումների հերթին հասնում է ոչ թե մեկ հայտնագործություն, այլ երեք հնարավոր, և դրանք տարբեր բաներ են նշանակում։ Առաջին խնդիրը բաց ծառայությունը բաց հավատարմագրից տարանջատելն է։

Դիտարկման կետերը անցեք հերթականությամբ։ Կանգ առեք, երբ ապացույցը փոխում է կատեգորիան, քանի որ հաջորդ փուլը պատասխանում է այլ հարցի։

Առաջին փուլ. ինչ իրականում տեսավ գրավումը

Փաթեթների գրավումը գրանցում է այն, ինչ տեսանելի էր իր սեփական կետում ուղու վրա։ Այդ կետը կարող է լինել ավելի ուշ զտման որոշումից առաջ։ Գրավված փաթեթը ապացուցում է, որ երթևեկությունը հասել է այնտեղ։ Այն ոչինչ չի ապացուցում այն մասին, թե հետո ինչ է տեղի ունեցել։

Ուշադրություն դարձրեք նաև ինտերֆեյսին։ Հանրային ադապտերի վրա գրավումը և թունելի ներսում գրավումը նկարագրում են ժամանման տարբեր կետեր, և սխալը մեջբերող ծանուցումը տանում է սխալ եզրակացության։

Windows-ը զտում է նաև ստեկի մի քանի շերտերում, ուստի այն կոկիկ մոդելը, որտեղ գրավման գործիքը նստում է երկրորդ շերտում, իսկ firewall-ը՝ երրորդում, չի դիմանում իրական արտադրանքի հետ շփմանը։ Windows Filtering Platform-ի ակնարկը նկարագրում է զտումը ստեկի շերտերով, և հենց դրա համար դիտարկման կարգը պետք է հաստատել, այլ ոչ թե ենթադրել։

Երկրորդ փուլ. ինչ է հաստատում մերժման գրառումը

Մերժման գրառումն ասում է, որ քաղաքականության սահմանը մերժել է այդ փաթեթը։ Սա ուժեղ ապացույց է։ Սա նաև նեղ ապացույց է, քանի որ ընդգրկում է մեկ որոշում մեկ սահմանում։ Ստեկում այլ ոչինչ դրանով նկարագրված չէ։

Համաձայնեցրեք tuple-ի և ժամանակի դրոշմանիշի վրա։ Նույն աղբյուրը, նույն նպատակակետը, նույն պորտը, նույն վայրկյանի ընթացքում։ Առանց այդ համընկնման՝ մեկ այլ մատյանի մեջ նմանատիպ իրադարձությունը պարզապես այլ իրադարձություն է, և դրանք զույգելը ստեղծում է պատմություն, որը ոչ ոք չի կարող պաշտպանել։

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Փակ պորտը և մերժված փաթեթը դրսից նույնն են թվում և այս երկու արտածումներում բոլորովին տարբեր են։ Այդ տարբերությունն է տեղական գրառումը կարդալու ամբողջ պատճառը։

Երրորդ փուլ. ինչ է ապացուցում նույնականացման իրադարձությունը

Նույնականացման իրադարձությունն ասում է, որ բաղադրիչը հարցումը մշակել է այնքան, որ արդյունք գրանցի։ Երեք փուլերից սա միակն է, որ խոսում է ինքնության մասին, և ոչինչ չի ասում այն մասին, թե քանի փաթեթ է ժամանել դրանից առաջ։

Կարդացեք իրադարձության իրական համատեքստը։ Գոյություն չունեցող հաշվի համար անհաջող մուտքը սկանավորման աղմուկ է։ Իրական հաշվի համար հավանական աղբյուրից անհաջող մուտքը այլ առաջնահերթություն է։ Հաջող սեսիան բոլորովին այլ միջադեպի կատեգորիա է։

Ուշադրություն դարձրեք նաև արձանագրությունների անվանումներին։ RPC-ն և RDP-ն առանձին ծառայություններ են՝ առանձին պորտերով։ Մեկին հետևող հայտնաբերիչը չի ընդգրկում մյուսին։ Ցանցային ակտիվությունը ամփոփող գործիքները միշտ չեն ասում, թե երկուսից որն է ստեղծել իրադարձությունը։

Մեկ համաձայնեցված նմուշը հաղթում է վահանակին

Ընտրեք մեկ թույլատրված փորձարկում, գործարկեք այն դիտավորյալ և հետևեք սկզբից մինչև վերջ՝ նպատակակետի հասցեն և ինտերֆեյսը, իրական աղբյուրի հասցեն, ծառայության պորտը, գործող firewall-ի պրոֆիլն ու կանոնը, և համապատասխան ծառայության արդյունքը։ Ներառեք այդ շղթայում ցանկացած վերին քարտեզագրում կամ ամպային firewall, քանի որ այնտեղ թույլատրող կանոնը կարող է վերացնել կոկիկ տեղական կանոնը։

Այնուհետև տարանջատեք երկու պարտավորությունները։ Եթե կառավարումը պետք է լինի միայն VPN-ով, ապա պարտադրեք այն և՛ հանրային, և՛ թունելային ուղու վրա՝ պահպանելով հաստատված վերականգնման ուղին։ Մերժված փորձի մշտադիտարկումը նույն խնդիրը չէ, ինչ որոշումը, թե ինչ պետք է ընդունի սերվերը։

Աշխարհագրական կանոնը կամ արգելափակված անկապ արձանագրությունը չեն փոխարինում դիտարկված մուտքի և նրա ստացած որոշման հայտնաբերմանը։ Չի փոխարինում նաև VPN-ը. ելքային երթևեկությունը թունելով ուղղելը ոչինչ չի փաստաթղթավորում մուտքային լիազորման մասին։