Peringatan masuk pada server VPN: baca titik pengamatan

Server di belakang VPN menyimpan entri layanan publiknya, dan orang terus menemukannya. Yang tiba di antrean peringatan bukan satu temuan melainkan tiga kemungkinan, dan artinya berbeda. Tugas pertama adalah memisahkan layanan yang terbuka dari kredensial yang terbuka.

Telusuri titik pengamatan secara berurutan. Berhentilah ketika bukti berganti kategori, karena tahap berikutnya menjawab pertanyaan lain.

Tahap satu: apa yang sebenarnya dilihat tangkapan

Tangkapan paket mencatat apa yang terlihat di titiknya sendiri pada jalur. Titik itu bisa berada sebelum keputusan penyaringan berikutnya. Paket yang tertangkap membuktikan lalu lintas sampai di sana. Itu tidak membuktikan apa pun tentang apa yang terjadi setelahnya.

Perhatikan juga antarmukanya. Tangkapan pada adaptor publik dan tangkapan di dalam terowongan menggambarkan titik kedatangan berbeda, dan peringatan yang mengutip yang salah mengarah ke kesimpulan yang salah.

Windows juga menyaring pada beberapa lapisan tumpukan, jadi model rapi tempat alat tangkapan berada di lapisan dua dan firewall di lapisan tiga tidak bertahan saat bersentuhan dengan produk nyata. Ikhtisar Windows Filtering Platform menjelaskan penyaringan lintas lapisan tumpukan, dan itulah sebabnya urutan pengamatan harus ditetapkan, bukan diasumsikan.

Tahap dua: apa yang ditetapkan catatan penolakan

Catatan penolakan menyatakan bahwa batas kebijakan menolak paket itu. Ini bukti kuat. Ini juga bukti sempit, karena mencakup satu keputusan di satu batas. Tidak ada hal lain di tumpukan yang dijelaskan olehnya.

Korelasikan pada tuple dan cap waktu. Sumber sama, tujuan sama, port sama, dalam detik yang sama. Tanpa kecocokan itu, peristiwa yang tampak serupa di log lain hanyalah peristiwa lain, dan memasangkannya menghasilkan cerita yang tidak bisa dipertahankan siapa pun.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Port tertutup dan paket yang ditolak terlihat identik dari luar dan sangat berbeda dalam dua keluaran ini. Perbedaan itulah seluruh alasan membaca catatan lokal.

Tahap tiga: apa yang dibuktikan peristiwa autentikasi

Peristiwa autentikasi menyatakan bahwa sebuah komponen memproses permintaan cukup jauh untuk mencatat hasil. Itu satu-satunya dari tiga tahap yang berbicara tentang identitas, dan tidak mengatakan apa pun tentang berapa paket yang tiba sebelumnya.

Baca konteks sebenarnya dari peristiwa itu. Logon gagal untuk akun yang tidak ada adalah kebisingan dari pemindaian. Logon gagal untuk akun nyata dari sumber yang masuk akal adalah prioritas berbeda. Sesi yang berhasil adalah kategori insiden yang sama sekali berbeda.

Perhatikan juga nama protokolnya. RPC dan RDP adalah layanan terpisah dengan port terpisah. Detektor yang mengawasi salah satunya tidak mencakup yang lain. Alat yang merangkum aktivitas jaringan tidak selalu menyebutkan mana dari keduanya yang menghasilkan peristiwa itu.

Satu sampel terkorelasi mengalahkan dasbor

Pilih satu uji resmi, jalankan dengan sengaja, dan lacak dari ujung ke ujung: alamat tujuan dan antarmuka, alamat sumber sebenarnya, port layanan, profil dan aturan firewall yang berlaku, serta hasil layanan yang sesuai. Sertakan pemetaan hulu atau firewall cloud apa pun dalam rantai itu, karena aturan yang mengizinkan di sana dapat mengesampingkan aturan lokal yang rapi.

Lalu pisahkan dua kewajiban. Jika administrasi dimaksudkan hanya melalui VPN, tegakkan itu pada jalur publik dan jalur terowongan sambil mempertahankan rute pemulihan yang disetujui. Memantau upaya yang ditolak bukan tugas yang sama dengan memutuskan apa yang harus diterima server.

Aturan geografi atau protokol tak terkait yang diblokir bukan pengganti untuk menemukan entri yang diamati dan keputusan yang diterimanya. VPN juga bukan: merutekan lalu lintas keluar melalui terowongan tidak mendokumentasikan apa pun tentang otorisasi masuk.