Snort di tepi VPN: tempat paket terlihat

Ikuti satu permintaan dari laptop jarak jauh dan permintaan itu melewati beberapa batas sebelum apa pun dapat memeriksanya. Terowongan luar berakhir di proses VPN, paket dalam muncul pada antarmuka, dan sesi HTTPS di dalamnya berlanjut ke aplikasi. Alat pemeriksa hanya melihat apa yang terlihat pada titik tempat paket mencapainya. Pasang satu tanpa memutuskan titik itu, dan log akan menjelaskan lapisan yang salah.

Satu paket melewati beberapa batas

Sebelum penghentian VPN pengamat melihat satu koneksi luar, biasanya ke port VPN, dengan alamat dan ukuran tetapi tanpa struktur dalam. Setelah penghentian, alamat, port, dan protokol dalam tersedia pada titik pemrosesan mana pun yang menyerahkannya. TLS milik aplikasi tetap terenkripsi kecuali rancangan terpisah menghentikannya. Itu tiga tingkat visibilitas, dan nama paket tidak memberi tahu Anda yang mana yang Anda beli.

Gambarkan jalur dengan batas ditandai, lalu letakkan sensor pada garis tempat pertanyaan dapat dijawab, karena lokasi adalah bagian dari jawaban. Batas yang tidak dapat Anda sebutkan adalah batas yang tidak dapat Anda uji.

Lihat apa yang terbaca di setiap titik

Periksa antarmuka dan tangkapan singkat sebelum memercayai deskripsi arsitektur apa pun.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Daftar tautan menunjukkan terowongan dan antarmuka fisik yang ada, dan tangkapan menunjukkan persis apa yang akan diterima sensor yang terpasang di sana. Jika menampilkan alamat dalam tetapi tidak ada baris permintaan HTTP, Anda berada setelah penghentian VPN dan masih di luar TLS aplikasi. Itu tempat normal untuk deteksi jaringan dan tempat yang salah untuk pemeriksaan isi. Ulangi tangkapan pada antarmuka luar untuk membandingkan apa yang diungkapkan batas lain.

Deteksi pasif tidak dapat memblokir sendiri

Dokumentasi pemeriksaan Snort memisahkan pengamatan pasif dari operasi inline. Mode pasif dapat memperingatkan tentang lalu lintas tanpa menghentikannya di jalur itu.

snort -T -c /etc/snort/snort.lua

Mode uji memvalidasi konfigurasi tanpa menjalankan sensor, yang merupakan langkah pertama yang benar sebelum penerapan apa pun. Operasi inline memerlukan pengaturan akuisisi paket yang kompatibel dan konfigurasi penegakan yang sesuai, bukan sekadar tanda tambahan. Karena itu entri log bukan bukti bahwa permintaan dicegah, dan proses yang dimulai dengan opsi mirip inline tidak membuktikan bahwa aliran nyata yang diteruskan melewatinya. Pastikan di mana implementasi benar-benar menyerahkan paket.

Pilih mode penegakan sebelum menerapkan

Putuskan apakah persyaratannya visibilitas atau pencegahan, karena keduanya membawa perilaku kegagalan yang berbeda. Sensor pasif yang mati membiarkan lalu lintas terus mengalir dan menciptakan celah pemantauan; perangkat inline yang mati dapat meneruskan lalu lintas atau menghentikannya, dan pilihan itu harus disengaja. Sepakati satu aliran yang diizinkan, satu aliran yang harus ditolak, dan perilaku yang Anda inginkan saat sensor gagal. Jaga pemulihan manajemen terpisah dari jalur yang diperiksa, agar kesalahan pada sensor tidak juga menghapus akses Anda.

Lalu catat lalu lintas yang terlihat, titik pemrosesan, dan perilaku penegakan. Ketiga fakta itu, bukan paket yang terpasang, menjelaskan apa yang sebenarnya dilakukan penerapan.