RDP-ն փոխում է հաճախորդին. ինչու տվյալների բազան տեսնում է այլ հոսթ

Ձեր VPN կանոնը մերժում է տվյալների բազան, և տոմսը փակվում է որպես firewall-ի խափանում, մինչդեռ նույն օգտատերը բացում է հրապարակված աշխատասեղան և առանց դժվարության հարցում է կատարում այդ բազային։ Երկու պնդումներն էլ ճշմարիտ են։ Աշխատասեղանը այլ հաճախորդ է՝ իր սեփական հասցեով այն սեգմենտում, որին կանոններն արդեն վստահում են, և իր սեփական ինքնությամբ, երբ միանում է առաջ։ Այն, ինչ թվում է հակասական կանոն, սովորաբար երկրորդ հարցումն է, որը ոչ ոք չի դրել վերանայման մեջ։

Երկրորդ հարցումն ունի իր սեփական հաճախորդի հասցեն

Երբ սեսիայի ներսում գտնվող հավելվածը կապ է բացում տվյալների բազայի հետ, TCP ձեռքսեղմումը սկսվում է սեսիայի հոսթում։ Նրա աղբյուրի հասցեն պատկանում է այդ հոսթի ցանցին, ուստի ուղու վրա գտնվող յուրաքանչյուր երթուղիչ և տվյալների բազայի firewall գնահատում է աշխատասեղանի սեգմենտը, այլ ոչ այն թունելային լողավազանը, որտեղից եկել է ձեր նոթբուքը։ VPN հասցեն երբեք չի հայտնվում այդ հոսքում։ Այդ պատճառով աղբյուրի վրա հիմնված մերժման կանոնը կարող է միաժամանակ ճիշտ և անտեղի լինել։

Կարդացեք ծագումը սեսիայի ներսից, ոչ թե նոթբուքից, ապա ստուգեք հետագա ուղին նույն տեղից։ Երկու պատասխանները պետք է համաձայնեն, թե որ հոսթն է ուղարկում հարցումը։

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Համեմատեք այն, ինչ հաղորդում է սեսիան, այն հասցեի հետ, որը տվյալների բազան գրանցել է նույն պահի համար։ Երբ սերվերի մատյանը ցույց է տալիս թունելային լողավազանի փոխարեն աշխատասեղանի ենթացանցը, հարցը դադարում է լինել այն մասին, թե արդյոք կանոնը գործարկվեց, և դառնում է այն մասին, թե որ հոսթն է կատարել հարցումը։ Դա այլ հետաքննություն է՝ այլ պատասխանատուով։

Ինքնությունը փոխվում է հասցեավորման հետ մեկտեղ

Հաջորդ կապը սովորաբար նույնականացվում է որպես սեսիայի թոքեն, պահված հավատարմագիր կամ հավելվածի սպասարկման հաշիվ, և ռեսուրսը գրանցում է այն, ինչ տրվել է իրեն։ Ուստի տվյալների բազայում սպասարկման հաշիվ ցույց տվող աուդիտի հետքը չի ապացուցում, որ հարցումը կատարել է մարդ։ Այն նաև չի նույնականացնում այդ մարդուն։ Միայն աշխատասեղանի սեփական սեսիայի մատյանն է միացնում այդ երկու գրառումները։

Լիազորումը տեղի է ունենում երկու անգամ, և երկրորդ որոշումը կայացվում է այլ մուտքերով։ Առաջինը տալիս է աշխատասեղանի մուտք անվանված օգտատիրոջը, իսկ երկրորդը տալիս է այն, ինչ այդ օգտատիրոջ թոքենը կամ հավելվածի հաշիվը կարող է անել ռեսուրսի հետ։ Աջակցության խումբը, որը կարող է բացել աշխատասեղան, ինքնաբերաբար այն խումբը չէ, որը կարող է կարդալ հաճախորդների աղյուսակը։

Նայեք թոքենին և լիազորագրման ուղուն նախքան մուտքի գրություն գրելը։ Երկուսն էլ տեսանելի են սեսիայի ներսից, և դա միակ տեղն է, որտեղ պատասխանը ենթադրություն չէ։

whoami /groups
klist
query session

Եթե հավելվածն օգտագործում է սպասարկման հաշիվ, ապա հենց նրա իրավունքներն են կարևոր հետագայում։ Այդ հավատարմագրի փոխարինումը մուտքի վերանայման մասն է, ոչ թե հետագա գործառնական մտքի։

Ինչու ուղիղ ուղին դեռևս արգելափակված է, և իրավացիորեն

Մերժման կանոնը սխալ չէ միայն այն պատճառով, որ նպատակակետին կարելի է հասնել այլ ճանապարհով։ Սեգմենտավորումը գնահատվում է ըստ աղբյուրի, և աշխատասեղանը գտնվում է այնպիսի սեգմենտում, որը թույլատրվել էր շատ ավելի վաղ, քան ինչ-որ մեկը դա պատկերացրել է որպես տվյալների բազայի ճանապարհ։ Ոչինչ չի շրջանցել քաղաքականությունը։ Քաղաքականությունը պարզապես նկարագրում է երկու տարբեր աղբյուր՝ երկու տարբեր արդյունքով։

Վերանայումը պետք է պատասխանի, թե ինչ կարող է սկսել այդ հոսթի յուրաքանչյուր լիազորված սեսիա։ Պահված սեսիաներով դիտարկիչները, քարտեզագրված սկավառակները, հավատարմագրեր պահող գործակալները և տեղայնորեն լսող ծառայությունները բոլորն ընդլայնում են աշխատասեղանի հասանելիությունը, և դրանցից ոչ մեկը չի երևում այն տոմսում, որը տվել է մուտքը։ Այդ ցանկն է իրական թույլտվությունների մակերեսը։

Թվարկեք այն փորձնական սեսիայի ներսից, ոչ թե աղյուսակից։ Մի քանի հրահանգ ծածկում են մակերեսի մեծ մասը։

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Ընտրեք սահմանը գիտակցաբար

Երեք ձևեր հարմար են տարբեր խնդիրների, և ընտրությունը պետք է հետևի խնդրին, այլ ոչ այն գործիքին, որը պատահաբար գոյություն ունի։ Հրապարակված հավելվածը ցուցադրում է մեկ ծրագիր՝ իր սեփական թույլտվություններով, ամբողջական աշխատասեղանը ցուցադրում է այն ամենը, ինչ կարող է անել օգտատիրոջ պրոֆիլը, իսկ աղբյուրի սահմանափակումով նեղ տվյալների բազայի հաշիվը ցուցադրում է մեկ ռեսուրս՝ ընդհանրապես առանց աշխատասեղանի։ Ամենանեղ ձևը, որը դեռ ավարտում է աշխատանքը, այն է, որը պետք է փաստաթղթավորել։ Ավելի լայն ամեն ինչ պահանջում է կողքին գրված պատճառ։

Մեկ հաշվետվության համար հրապարակված հավելվածը կամ սահմանափակ հաշիվը ավելի փոքր թույլտվություն է, քան ընդհանուր աշխատասեղանը։ Սպասարկման համար, որն իսկապես պահանջում է մի քանի գործիք, աշխատասեղանը կարող է ճիշտ լինել, բայց այդ դեպքում հաստատումը նկարագրում է ամբողջ հոսթը, այլ ոչ մեկ հավելված։ Հարցրեք ռեսուրսի սեփականատիրոջը, թե դրանցից որին է նա համաձայն։

Տվյալների տեղաշարժը առանձին անջատիչ է։ Սեղմատախտակը, սկավառակների վերահասցեավորումը և ներբեռնումները կարող են ընկերության տվյալները տանել հաճախորդ, և հավելվածը հեռավոր գործարկելը ինքնին տվյալները հեռու չի պահում։

Ստուգեք երկու հաստատումները և հեռացման ուղին

Երկու հաստատում պատկանում է գրառմանը՝ աշխատասեղանին հասնելու և այն բացելու իրավունքը, և դրա ներսից ռեսուրսներ օգտագործելու իրավունքը։ Անվանեք սեփականատեր յուրաքանչյուրի համար և երկրորդը պահեք տեսանելի նրան, ով վերանայում է ռեսուրսը։ Հենց այդ երկրորդ գրառումն է, որ կհարցնի աուդիտորը, որովհետև այն նկարագրում է հասանելիությունը, ոչ թե մուտքը։ Գրեք երկուսն էլ նախքան փոփոխությունը հաստատելը, ոչ թե առաջին դեպքից հետո։

Ապա ստուգեք հեռացումը, քանի որ անջատված սեսիան կարող է ապրել իր պատճառից ավելի երկար։ Սեսիաների աղյուսակը ամենաարագ տեղն է տեսնելու, թե ինչ դեռ աշխատում է։

query session
query user
qwinsta /server:rdsh01.corp.internal

Հաճախորդին անջատելը թողնում է հեռավոր սեսիան աշխատող, և նրա ցանցային կապերն ու պահված հավատարմագրերը կարող են օգտագործելի մնալ մինչ այդ սեսիայի ավարտը։ Դուրս եկեք, կամ բացահայտ ավարտեք սեսիան, և հաստատեք, որ դրանից հետո ներքևի հաշվիչը դադարում է առաջ շարժվել։ Հեռացման փորձարկումը, որը միայն փակում է նոթբուքի կափարիչը, ոչինչ չի ապացուցում։ Կատարեք նույն փորձարկումը մեկ անգամ անջատված հաշվով և մեկ անգամ հեռացված աշխատասեղանի թույլտվությամբ, ապա գրանցեք, թե ռեսուրսը ինչ է գրանցել յուրաքանչյուր դեպքում։