Visual Studio VPN аркылуу гана жайбу? CRL жана OCSP текшериңиз

Visual Studio үйдө кадимкидей ачылат, анан ошол эле ноутбук корпоративдик туннелге кошулат жана ар бир ачылыш жарым мүнөт баштапкы экранда турат. Саясатты алып салсаңыз, кечигүү да аны менен кетет; туннелди алып салсаңыз, ошол эле болот. Эки байкоо тең так, ошондуктан эки компонент бири-бирин дайыма күнөөлөйт. Чечүүчү суроо — сертификаттын кайтарылышын текшерүү суроосу туннел гана сунуш кылган жолду күтүп жатабы, же такыр жол таппайбы.

Ачылышты эмес, жүктөөнү өлчөңүз

Бир WDAC саясаты, кол коюлган SiPolicy.p7b катары жайгаштырылган, машинада кайсы сүрөттөр иштеши мүмкүн экенин аныктайт. Код бүтүндүгү аткаруудан мурун сүрөттүн колтамгалар тизмегин текшерет, жана бул текшерүү кайтаруу суроосун камтышы мүмкүн. Жооп сертификат өз ичинде атаган CRL таратуу пунктуна же OCSP жооп берүүчүгө көз каранды.

Бул кадимки тармактык суроолор, ошондуктан алардын баасы жооп берүүчүнүн кайда экенине көз каранды. Ал туннел аркылуу гана жеткиликтүү болгондо, же анын аты туннелдин артындагы DNS сервери аркылуу гана чечилгенде, текшерүү туннел даяр болгончо күтөт. Visual Studio ачылышта көптөгөн кол коюлган жыйындыларды жана кеңейтүүлөрдү жүктөйт, ал эми ар сүрөткө аз кечигүү көрүнүктүү токтоп калууга айланат. Эч нерсе бузулган эмес жана саясат конфигурациялангандай эле иштейт, ошондуктан саясатты алып салуу маселени чечкендей көрүнөт.

Ар бир кол коюлган сүрөт тармактык чакырык жаратышы мүмкүн

Дискте мурунтан бар кол коюлган бинардык файлдан баштаңыз жана платформадан аны ачылыш колдонгон ошол эле жүктөө жүрүм-туруму менен текшерүүнү сураңыз. Буйрукту бир жолу туннелде жана бир жолу анын сыртында иштетип, анан акыркы өкүмдүн ордуна жүктөө саптарын салыштырыңыз.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Чыгарылыш тизмекти, CRL жана OCSP дарегин жана ар бир жүктөөнүн ийгиликтүү болгонун тизмелейт. Туннелде убактысы бүтүп, сыртында жооп берген жооп берүүчү — сизге керектүү далил, жана ал жайлык тууралуу таасирден алда канча оор. Эгер жүктөө жай ийгиликтүү болсо, даректи жазып коюңуз, кийинки кадам ошол хостту түз текшере алат.

Жооп берүүчүнүн хост атын чечип, жеткиликтүүлүктү колдонмонун сыртында текшериңиз, анткени чечилбеген атты эч бир кардар параметри оңдобойт. CodeIntegrity операциялык журналы далилдин экинчи жарымын берет, текшерүү окуясын жай ачылыштын убакыт белгиси менен байланыштырат.

Көзөмөлдү алып салбастан кечигүүнү кыскартыңыз

Саясатты өчүрүү же аны аудит режимине которуу кечигүүнү жок кылат жана уюм жайгаштырган көзөмөлдү алып салат, ошондуктан муну туура эмес оңдоо деп эсептеңиз. Тар вариантыраак тандоолор: жооп берүүчү туннел аркылуу жеткиликтүү болушу үчүн маршруттоо өзгөртүүсү, жооп берүүчү хосттор үчүн бөлүнгөн туннелдеги өзгөчөлүк, ат жеткиликсиз дарекке чечилгенде DNS түзөтүүсү, же кайтаруу берилиштери үчүн колдоого алынган кэштөөчү прокси. Ар биринин ээси башка: PKI тобу жооп берүүчүнүн жеткиликтүүлүгүнө, тармак тобу туннелдин бөлүнүшүнө, ал эми акыркы чекиттер тобу саясатка жооп берет.

Ар бир кайтаруу хостун туннелден чыгарып салуу автоматтык түрдө коопсуз эмес, анткени ички жооп берүүчү атайын ички болушу мүмкүн. Сертификат текшерүүлөрүн үнсүз коомдук интернетке жөнөткөн эреже жазганга чейин PKI башкарган топ менен өзгөчөлүктү ырастаңыз. Ушундай ырастоосуз жасалган өзгөртүү кийинки саясат жаңыртууда артка кайтарылат.

Өзгөртүүдөн кийин суук ачылышты текшериңиз

Эки абалда тең суук ачылышты өлчөп, сандарды сактаңыз, анткени жыйындылар кэшке түшкөндөн кийин жылуу ачылыш дээрлик эч нерсени далилдебейт. Жаңы сессиядан ачылышты кайталаңыз, кеңейтүүлөрдү жүктөө жолу кайра иштелип чыгышы үчүн.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Оңдолгон конфигурация жооп берүүчү менен дагы байланышат же сиздин PKI тобуңуз бекиткен кэш жолун колдонот, ал эми журнал текшерүүнүн убактысы бүтпөстөн аяктаганын көрсөтөт. Жакында кол коюлган колдонмонун дагы ачыларын ырастаңыз, анткени баарына уруксат берген саясат ийгиликтүү оңдоо эмес. Активдүү саясаттын папкасын жана аткаруу абалын да текшериңиз, ошондо сиз мүчүлүштүк издеп жаткан саясат иштеп жатканы белгилүү болот. Сертификат тизмегин, жооп берүүчүнүн дарегин жана ачылыштын убакыт белгилерин бир билетте сактаңыз, анткени жаңыртуу адатта жооп берүүчүнү жылдырат жана өзгөчөлүк же DNS эрежесин эскиртип калтырат.