VPN-შესვლის გაფრთხილებები შეჭრის გაფრთხილებები არ არის: დააკვირდით სესიას
უჩვეულო შესვლა განხილვის მიზეზია და არა განაჩენი. სანამ შეჭრას უწოდებთ, დააკავშირეთ ავთენტიფიკაციის ჩანაწერი სესიასთან, შემდეგ კი იმასთან, რასაც ის შეეხო.
ახალ ქვეყანაზე გამორთული VPN გაფრთხილება გადამწყვეტად გვეჩვენება და ჩვეულებრივ ასე არ არის. ავთენტიფიკაცია ამბობს, რომ მცდელობა მიღებულ იქნა; სესია ამბობს, რომელი კავშირი ატარებდა მას; რესურსების ჩანაწერები ამბობენ, რა მოხდა იმ კავშირის შიგნით. თითოეული სხვა კითხვას პასუხობს. წესი, რომელიც სამივეს აერთიანებს, ორშაბათს ოცდაათ ბილეთს ქმნის და პარასკევს ნამდვილ შემთხვევას უშვებს.
უცხო მისამართი კითხვაა და არა პასუხი
მოგზაურობა, სხვა ქვეყანაში გამომავალი მობილური ოპერატორები, კორპორაციული ვებ-პროქსი და ხელახლა გამოყოფილი carrier-grade NAT-ის აუზი ყველა ცვლის ხილულ წყაროს ისე, რომ თავდამსხმელს არ ცვლის. შესვლის ჩანაწერი ასახავს, საიდან შემოვიდა კავშირი ქსელში და არა იმას, ვინ ეჭირა მოწყობილობა.
საპირისპირო მარცხი უარესია, რადგან ჩუმადაა. მოპარული პაროლი, რომელიც თავად მომხმარებლის ქალაქიდან გამოიყენება, ქმნის შესვლას, რომელიც გეოგრაფიის შემოწმებაზე ყველა წინა შესვლას ემთხვევა.
გეოგრაფიის განაჩენად მიჩნევას გაზომვადი ფასი აქვს. მოგზაური ლეპტოპები ქმნიან განხილვების მუდმივ ნაკადს, მიმომხილველები სწავლობენ მათ დახურვას კითხვის გარეშე და ჩვევა გრძელდება მანამ, სანამ ნამდვილი შემთხვევა იმავე რიგში არ მოხვდება.
სამი ტიპის ჩანაწერი სამ სხვადასხვა კითხვას პასუხობს
დაიწყეთ იმით, რასაც განლაგებული პროდუქტები რეალურად ასხივებენ და არა იმით, რასაც პროდუქტის ბროშურა უთითებს, რომ მათ შეუძლიათ. ავთენტიფიკაციის გადაწყვეტილება ასახელებს მოთხოვნილ იდენტობას, მეთოდს და შედეგს. სესიის სასიცოცხლო ციკლი ასახელებს კავშირს, კარიბჭეს და მინიჭებულ მისამართს, დასაწყისიდან გაჩერებამდე.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
ცარიელი უჯრა შეგროვების ხარვეზია და არა გამართლება. თუ რესურსების მოვლენები არასდროს მოდის, საეჭვო წაკითხვის არარსებობა ნიშნავს, რომ მილსადენს სათქმელი არაფერი აქვს და მშვიდი დაშბორდი აღწერს მილსადენს და არა ქსელს. ჩაწერეთ, რომელ ჩანაწერებს აწარმოებს განლაგება რეალურად, სანამ დაჰპირდებით მათზე დამოკიდებულ წესს, და დაასახელეთ ყოველი დაკარგული ნაკადის მფლობელი.
საბუღალტრო დეტალები ის ადგილია, სადაც სესიები შემოწმებადი ხდება. RFC 2866-ში აღწერილი RADIUS აღრიცხვა ატარებს დაწყების, გაჩერების და შუალედურ განახლებებს, რომლებიც სესიის იდენტიფიკატორზეა მიბმული, ამიტომ დასაწყისის მქონე და გაჩერების გარეშე სესია ხარვეზია, რომელსაც შეგიძლიათ დაარქვათ სახელი საიდუმლოს ნაცვლად.
დააკავშირეთ სესიაზე და არა მომხმარებლის სახელზე
ერთი ანგარიში ლეგიტიმურად ინახავს რამდენიმე სესიას ერთდროულად: ლეპტოპი, ტელეფონი, ღამით ჩართული დატოვებული ლაბორატორიული მანქანა. ამ მომხმარებლის სახელის ყველა მოვლენის დაკავშირება სამ მოწყობილობას ერთ ამბავში ადნობს და შემდეგ კომბინაციას კომპრომისად კითხულობს. მინიჭებული მისამართებიც გადამუშავდება, ამიტომ კავშირი, რომელიც სესიის დასრულების შემდეგაც აგრძელებს მისამართთან დამთხვევას, გასული თვის მოწყობილობას დღევანდელ ინციდენტში ეწევა. შეინახეთ სესიის გასაღები მისამართის გვერდით და შეზღუდეთ დამთხვევა იმ დროის ფანჯრით, რომელიც სესიამ რეალურად დაფარა.
იქ, სადაც თარგმანი ორიგინალურ წყაროს აშორებს სანამ სერვისი მას დაინახავს, გამოიყენეთ ის იდენტობა, რომელიც ამ საზღვარზე რჩება, მაგალითად ურთიერთდაკავშირებული TLS-ის სუბიექტი ან ერთიანი შესვლის მტკიცება. მისამართსა და ადამიანს შორის ერთი-ერთზე დაფიქსირების გამოგონება იგივე შეცდომაა დამატებითი ნაბიჯებით.
მფლობელის გარეშე გაფრთხილება დაშბორდია
ყოველ წესს სჭირდება პირობა, მისი წარმომქმნელი უვნებელი განმარტებები, შესაგროვებელი მტკიცებულებები და მოქმედი ადამიანი. განმეორებითი უარყოფილი ადმინისტრაციული ოპერაცია, წარუმატებელი პაროლების აფეთქება და ჩუმი შემგროვებელი სამი განსხვავებული ინციდენტია სამი განსხვავებული საათით.
შეტყობინება შეკავება არ არის და დისტრიბუციის სია არაფერს ზღუდავს. ცოცხალი სესიის შეცვლას სჭირდება კომპონენტი, რომელსაც ეს შეუძლია, იქნება ეს კარიბჭე, რომელიც კავშირს წყვეტს, თუ იდენტობის მომწოდებელი, რომელიც სესიას აუქმებს. მოძველებული ნაკადები და დაკარგული გაჩერების ჩანაწერები წესის ტექსტსაც ეკუთვნის, რადგან შემგროვებელი, რომელსაც დღე არაფერი გაუგზავნია, დაშბორდიდან ზუსტად მშვიდ ქსელს ჰგავს. განსხვავება მხოლოდ თავად მილსადენში ჩანს.
შეამოწმეთ შეგროვების გზა სანამ მშვიდ კვირას ენდობით
დაამტკიცეთ მილსადენი თავიდან ბოლომდე სანამ ერთ წესს დააყენებთ. ქვემოთ მოცემული ბრძანებები ადასტურებენ, რომ ავთენტიფიკაციისა და აღრიცხვის მსმენელები მუშაობენ, რომ სატესტო მონაცემები სწორი მიზეზით უარყოფილია და რომ სესიის მოვლენები ჯერ კიდევ მოდის:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
ტესტიდან მიღებული Access-Reject ამტკიცებს, რომ მოთხოვნამ სერვერს მიაღწია და საერთო საიდუმლო დაემთხვა, და სწორედ ამ ნაწილს გამოტოვებენ ადამიანები. დროის ამოწურვა სამაგიეროდ მიუთითებს საიდუმლოზე, მსმენელზე ან მის წინ არსებულ ფილტრზე, და ყოველი ქვედა გაფრთხილება გადაუმოწმებელია, სანამ ეს არ გამოსწორდება.
საათის მდგომარეობას მნიშვნელობა აქვს, რადგან კორელაციის ფანჯრები შეთანხმებას გულისხმობენ. რამდენიმე წუთით გადახრილი კარიბჭე სხვაგვარად სუფთა სესიის შეერთებას შეუძლებლად აჩვენებს, და მიმომხილველები ანაზღაურებენ ფანჯრის გაფართოებით, სანამ შეერთება შეწყვეტს გარჩევას. შეამოწმეთ გადახრა წესის რედაქტირებამდე.
შემდეგ გაატარეთ ერთი წესი უვნებელ ტესტში: შექმენით შესვლა მოულოდნელი მისამართიდან, დაადასტურეთ, რომ გაფრთხილება ირთვება, დაადასტურეთ, რომ რეაგირებულს შეუძლია სესიის და მისი რესურსების მოვლენების ამოღება, და დაადასტურეთ, რომ ბილეთი ატარებს სესიის იდენტიფიკატორს. წესი, რომელიც თანმიმდევრულ ამბავს ქმნის, გადის. წესი, რომელიც ჟურნალის სტრიქონების გროვას ქმნის, ჯერ კიდევ დაშბორდია. ჩაწერეთ შედეგი წესის გვერდით, რათა შემდეგი განხილვა მტკიცებულებიდან დაიწყოს და არა ინტუიციიდან.