Snort al bordo della VPN: dove i pacchetti sono visibili

Seguite una singola richiesta da un portatile remoto e attraversa diverse frontiere prima che qualcosa possa ispezionarla. Il tunnel esterno termina nel processo VPN, il pacchetto interno appare su un’interfaccia e la sessione HTTPS all’interno prosegue fino all’applicazione. Uno strumento di ispezione vede solo ciò che è visibile nel punto in cui i pacchetti lo raggiungono. Installatene uno senza decidere quel punto, e i registri descriveranno lo strato sbagliato.

Un pacchetto attraversa diverse frontiere

Prima della terminazione della VPN l’osservatore vede una connessione esterna, di solito verso la porta VPN, con indirizzi e dimensioni ma senza struttura interna. Dopo la terminazione gli indirizzi, le porte e i protocolli interni sono disponibili nel punto di elaborazione che li consegna. Il TLS dell’applicazione stessa resta cifrato a meno che un progetto separato lo termini. Sono tre livelli di visibilità, e il nome di un pacchetto non vi dice quale avete comprato.

Disegnate il percorso con le frontiere segnate, poi collocate il sensore sulla linea dove la domanda può essere risolta, perché la posizione fa parte della risposta. Una frontiera che non potete nominare è una frontiera che non potete testare.

Vedete cosa è leggibile in ogni punto

Controllate l’interfaccia e una cattura breve prima di fidarvi di qualsiasi descrizione dell’architettura.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

L’elenco dei collegamenti mostra i tunnel e le interfacce fisiche esistenti, e la cattura mostra esattamente cosa riceverebbe un sensore collegato lì. Se mostra indirizzi interni ma nessuna riga di richiesta HTTP, siete dopo la terminazione della VPN e ancora fuori dal TLS dell’applicazione. È il posto normale per il rilevamento di rete e il posto sbagliato per l’ispezione dei contenuti. Ripetete la cattura sull’interfaccia esterna per confrontare cosa espone l’altra frontiera.

Il rilevamento passivo non può bloccare da solo

La documentazione di ispezione di Snort separa l’osservazione passiva dall’operazione in linea. La modalità passiva può avvisare del traffico senza fermarlo su quel percorso.

snort -T -c /etc/snort/snort.lua

La modalità di prova convalida la configurazione senza eseguire il sensore, che è il primo passo corretto prima di qualsiasi distribuzione. L’operazione in linea richiede un assetto compatibile di acquisizione dei pacchetti e una configurazione di applicazione corrispondente, non solo un’opzione aggiuntiva. Una voce di registro non è quindi prova che una richiesta sia stata impedita, e un processo avviato con un’opzione che sembra in linea non dimostra che il flusso realmente inoltrato vi passi attraverso. Confermate dove l’implementazione consegna davvero i pacchetti.

Scegliete la modalità di applicazione prima di distribuire

Decidete se il requisito è visibilità o prevenzione, perché i due comportano un comportamento di guasto diverso. Un sensore passivo che si guasta lascia fluire il traffico e produce un vuoto di monitoraggio; un dispositivo in linea che si guasta può lasciar passare il traffico o fermarlo, e quella scelta deve essere deliberata. Concordate un flusso consentito, un flusso che deve essere negato e il comportamento che volete quando il sensore fallisce. Tenete il ripristino della gestione separato dal percorso ispezionato, così un errore nel sensore non vi toglie anche l’accesso.

Poi registrate il traffico visibile, il punto di elaborazione e il comportamento di applicazione. Questi tre fatti, non il pacchetto installato, descrivono ciò che la distribuzione fa davvero.