VPN-innskráningartilkynningar eru ekki tilkynningar um árás: fylgstu með lotunni
Óvenjuleg innskráning er tilefni til skoðunar, ekki úrskurður. Tengingarskráðu við lotu og síðan við það sem hún snerti, áður en þú kallar það árás.
Tilkynning frá VPN sem kviknar fyrir nýtt land virðist afgerandi, og er það yfirleitt ekki. Auðkenning segir að tilraun hafi verið samþykkt; lotan segir hvaða tenging bar hana; auðlindarskrár segja hvað gerðist inni í þeirri tengingu. Hvert svarar annarri spurningu. Regla sem rennir öllum þremur saman framleiðir þrjátíu miða á mánudag og missir raunverulega tilvikið á föstudag.
Erlent heimilisfang er spurning, ekki svar
Ferðalög, farsímafyrirtæki sem fara út í öðru landi, fyrirtækisvefseld og endurúthlutað carrier-grade NAT-safn færa öll hið augljósa upptök án þess að færa árásarmanninn. Innskráningarskráin endurspeglar hvar tengingin kom inn í netið, ekki hver hélt tækinu.
Andhverfa bilunin er verri því hún er hljóðlát. Stolið lykilorð notað frá borg notandans sjálfs framleiðir innskráningu sem passar við hverja fyrri innskráningu í landfræðiprófinu.
Að meðhöndla landfræði sem úrskurð hefur mælanlegan kostnað. Ferðalangar fartölvur framleiða stöðugan straum skoðana, skoðendur læra að loka þeim án þess að lesa, og venjan heldur áfram þar til raunverulegt mál lendir í sömu biðröð.
Þrjár tegundir skráa svara þremur mismunandi spurningum
Byrjaðu á því sem uppsettu vörurnar gefa í raun frá sér, ekki á því sem vörubæklingur gefur í skyn að þær gætu gefið frá sér. Auðkenningarákvörðunin nefnir fullyrðinguna auðkenni, aðferðina og niðurstöðuna. Lífsferill lotunnar nefnir tenginguna, gáttina og úthlutað heimilisfang, frá byrjun til stöðvunar.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Tómur reitur er skarð í söfnun, ekki sýknudómur. Ef auðlindaatburðir berast aldrei þýðir fjarvera grunsamlegrar lestrar að leiðslan hefur ekkert að tilkynna, og hljóðlát mælaborð lýsa leiðslunni en ekki netinu. Skrifaðu niður hvaða skrár uppsetningin framleiðir í raun áður en þú lofar reglu sem er háð þeim, og nefndu eiganda hvers vantar straums.
Bókhaldsupplýsingarnar eru staðurinn þar sem lotur verða athuganlegar. RADIUS-bókhald eins og lýst er í RFC 2866 ber byrjun, stöðvun og millitíma uppfærslur tengdar lotuauðkenni, svo lota með byrjun og enga stöðvun er skarð sem þú getur nefnt í stað ráðgátu.
Tengdu á lotunni, ekki á notandanafninu
Einn reikningur heldur löglega nokkrum lotum í einu: fartölva, sími, rannsóknarstrofuvél sem látin er vera tengd í gegnum nóttina. Að tengja hvern atburð fyrir það notandanafn bræðir þrjú tæki í eina sögu og les síðan samsetninguna sem málamiðlun. Úthlutuð heimilisföng eru einnig endurnýtt, svo tenging sem heldur áfram að passa heimilisfang eftir að lotunni lauk dregur tæki síðasta mánaðar inn í mál dagsins. Haltu lotulyklinum við hlið heimilisfangsins og takmarkaðu samsvörunina við tímagluggann sem lotan náði í raun yfir.
Þar sem þýðing fjarlægir upprunalega upptök áður en þjónusta sér þau, notaðu auðkennið sem lifir á þeirri mörk, svo sem viðfang gagnkvæms TLS eða fullyrðingu um eina innskráningu. Að finna upp eitt-á-eitt vörpun milli heimilisfangs og manneskju er sama mistökin með viðbótarskrefum.
Tilkynning án eiganda er mælaborð
Hver regla þarf skilyrði, skaðlausar skýringar sem framleiða hana, sönnunargögnin sem á að sækja, og manneskjuna sem bregst við. Endurtekin hafnað stjórnunaraðgerð, bylting mistekinna lykilorða og hljóðlátur safnari eru þrjú mismunandi mál með þremur mismunandi klukkum.
Tilkynning er ekki einangrun, og dreifingarlisti takmarkar ekkert. Að breyta lifandi lotu krefst íhlutarins sem getur það, hvort sem það er gáttin sem sleppir tengingunni eða auðkennisveitandinn sem afturkallar lotuna. Úreltir straumar og vantar stöðvunarskrár eiga líka heima í reglu textans, því safnari sem hefur ekki sent neitt í sólarhring lítur nákvæmlega út eins og hljóðlátt net frá mælaborðinu. Munurinn sést aðeins í leiðslunni sjálfri.
Athugaðu söfnunarleiðina áður en þú treystir hljóðlátri viku
Sannaðu leiðsluna frá upphafi til enda áður en þú stillir eina reglu. Skipanirnar hér að neðan staðfesta að hlustendur auðkenningar og bókhalds séu uppi, að prófunarskírteini sé hafnað af réttri ástæðu og að lotuatburðir berist enn:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject úr prófinu sannar að beiðnin náði þjóninum og að sameiginlega leyndarmálið passaði, og það er hlutinn sem fólk sleppir. Tímamörk benda þess í stað á leyndarmálið, hlustandann eða sía fyrir framan hann, og hver tilkynning neðar er ósannanleg þar til það er lagað.
Staða klukkunnar skiptir máli því fylgnigluggar gera ráð fyrir samkomulagi. Gátt sem víkur nokkrum mínútum lætur annars hreina lotutengingu virðast ómögulega, og skoðendur bæta upp með því að víkka gluggann þar til tengingin hættir að greina. Athugaðu frávikið áður en þú breytir reglunni.
Keyrðu síðan eina reglu í skaðlausu prófi: búðu til innskráningu frá óvæntu heimilisfangi, staðfestu að tilkynningin kvikni, staðfestu að viðbragðsaðilinn geti sótt lotuna og auðlindaatburði hennar, og staðfestu að miðinn beri lotuauðkennið. Regla sem framleiðir samhangandi sögu stenst. Regla sem framleiðir hrúgu af atburðarásum er enn mælaborð. Skráðu niðurstöðuna við regluna svo næsta skoðun byrji á sönnunargögnum en ekki innsæi.