RDP кардарды өзгөртөт: маалымат базасы эмне үчүн башка хостту көрөт

VPN эрежеңиз маалымат базасына тыюу салат жана билет файрволдун бузулушу катары жабылат, ал эми ошол эле колдонуучу жарыяланган иш тактаны ачып, ошол базага эч кыйынчылыксыз суроо жөнөтөт. Эки билдирүү тең туура. Иш такта башка кардар, эрежелер мурунтан ишенген сегментте өз дареги бар жана андан ары туташканда өз инсаны бар. Карама-каршы эрежеге окшогон нерсе адатта эч ким кароого киргизбеген экинчи суроо болуп саналат.

Экинчи суроонун өз кардар дареги бар

Сессиянын ичиндеги колдонмо маалымат базасына байланыш ачканда, TCP кол алышуусу сессия хостунда башталат. Анын булак дареги ошол хосттун тармагына таандык, ошондуктан жолдогу ар бир маршрутизатор жана базанын файрволу ноутбукуңуз келген туннель бассейнин эмес, иш тактанын сегментин баалайт. VPN дареги бул агымда эч качан көрүнбөйт. Ошондуктан булакка негизделген тыюу эрежеси бир эле учурда туура жана тиешесиз болушу мүмкүн.

Булагын ноутбуктан эмес, сессиянын ичинен окуңуз, анан ошол эле жерден кийинки жолду текшериңиз. Эки жооп суроону кайсы хост жөнөтүп жатканы тууралуу макул болушу керек.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Сессия билдиргенди маалымат базасы ошол эле убакыт үчүн жазган дарек менен салыштырыңыз. Сервер журналы туннель бассейнинин ордуна иш тактанын ички тармагын көрсөтсө, суроо эреже иштедиби дегенден кайсы хост суроо жөнөттү дегенге айланат. Бул башка ээси бар башка иликтөө.

Инсан да дарек менен бирге өзгөрөт

Андан аркы байланыш адатта сессиянын токени, сакталган каттоо маалыматы же колдонмонун кызматтык эсеби катары аутентификацияланат жана ресурс өзүнө берилгенди жазат. Ошондуктан базадагы кызматтык эсепти көрсөткөн аудит изи суроону адам аткарганын далилдебейт. Ал адамды да аныктабайт. Бир гана иш тактанын өз сессия журналы ошол эки жазууну байланыштырат.

Авторизация эки жолу болот жана экинчи чечим башка киргизүүлөр менен кабыл алынат. Биринчиси аталган колдонуучуга иш тактага кирүүнү берет, экинчиси ошол колдонуучунун токени же колдонмо эсеби ресурска эмне кыла аларын берет. Иш тактаны ача алган колдоо тобу автоматтык түрдө кардар кестесин окуй алган топ эмес.

Жетүү жазуусун жазганга чейин токенди жана ыйгарым укук жолун карап чыгыңыз. Экөө тең сессиянын ичинен көрүнөт жана бул жооп божомол болбогон жалгыз жер.

whoami /groups
klist
query session

Колдонмо кызматтык эсепти колдонсо, андан ары ошол эсептин укуктары маанилүү. Ошол каттоо маалыматын айландыруу жетүү кароосуна таандык, кийинки операциялык ойго эмес.

Түз жол эмне үчүн дагы эле туура түрдө жабык

Тыюу эрежеси максатка башка жол менен жетүү мүмкүн болгондуктан гана туура эмес эмес. Сегментация ар бир булак боюнча бааланат жана иш такта бирөө аны базага апарар жол деп ойлогондон алда канча мурун уруксат берилген сегментте турат. Эч нерсе саясатты айланып өткөн жок. Саясат жөн гана эки башка натыйжасы бар эки башка булакты сүрөттөйт.

Кароо жооп бериши керек болгон нерсе — ошол хосттогу ар бир уруксат берилген сессия эмнени баштай алат. Сакталган сессиялары бар браузерлер, туташтырылган дисктер, каттоо маалыматын кармаган агенттер жана жергиликтүү угуучу кызматтар иш тактанын жетүү аймагын кеңейтет жана алардын эч бири кирүү берген билетте көрүнбөйт. Ошол тизме — чыныгы уруксат бети.

Аны электрондук таблицадан эмес, сыноо сессиясынын ичинен санап чыгыңыз. Бир нече буйрук беттин көп бөлүгүн камтыйт.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Чекти атайын тандаңыз

Үч форма ар башка милдеттерге ылайыктуу жана тандоо кокустан бар аспапты эмес, милдетти ээрчиши керек. Жарыяланган колдонмо өз укуктары бар бир программаны ачат, толук иш такта колдонуучунун профили кыла алгандын баарын ачат, ал эми булак чектөөсү бар тар база эсеби иш тактасыз эле бир ресурсту ачат. Ишти дагы эле бүтүрө турган эң тар форма документтештирилиши керек. Андан кененирээк нерсе жанына жазылган себепти талап кылат.

Бир отчёт үчүн жарыяланган колдонмо же чектелген эсеп жалпы иш тактадан кичине уруксат. Чындап бир нече аспап талап кылган тейлөө үчүн иш такта туура болушу мүмкүн, бирок анда бекитүү бир колдонмону эмес, бүт хостту сүрөттөйт. Ресурстун ээсинен ушулардын кайсынысына макул экенин сураңыз.

Маалыматтын кыймылы — өзүнчө которгуч. Алмашуу буфери, дисктерди кайра багыттоо жана жүктөөлөр компаниянын маалыматын кардарга алып кетиши мүмкүн, ал эми колдонмону алыстан иштетүү маалыматты өзүнөн алыс кармабайт.

Эки бекитүүнү жана жоюу жолун текшериңиз

Жазууга эки бекитүү таандык: иш тактага жетүү жана аны ачуу укугу, жана анын ичинен ресурстарды пайдалануу укугу. Ар бирине ээсин атаңыз жана экинчисин ресурсту карап чыккан ар кимге көрүнүктүү кармаңыз. Аудитор дал ошол экинчи жазуу тууралуу сурайт, анткени ал кирүүнү эмес, жетүү аймагын сүрөттөйт. Экөөнү тең өзгөртүү бекитилгенге чейин жазыңыз, биринчи окуядан кийин эмес.

Анан жоюуну текшериңиз, анткени ажыратылган сессия өз себебинен узак жашашы мүмкүн. Сессиялар таблицасы дагы эмне иштеп жатканын көрүүнүн эң тез жери.

query session
query user
qwinsta /server:rdsh01.corp.internal

Кардарды ажыратуу алыскы сессияны иштеп туруучу бойдон калтырат жана анын тармактык байланыштары менен кэштеги каттоо маалыматтары ошол сессия бүткөнгө чейин колдонулушу мүмкүн. Системадан чыгыңыз же сессияны ачык түрдө бүтүрүңүз, анан төмөнкү эсептегич андан ары жылбай турганын ырастаңыз. Бир гана ноутбуктун капкагын жапкан жоюу сынагы эч нерсени далилдебейт. Ошол эле сынакты бир жолу эсеп өчүрүлгөн абалда, бир жолу иш такта укугу алынып салынган абалда өткөрүңүз, анан ар бир учурда ресурс эмнени жазганын жазыңыз.