Agangsalarm op engem VPN-Server: liest de Beobachtungspunkt

Eng Opnam, e Firewall-Drop an eng feelgeschloe Logon registréieren dräi verschidden Evenementer. Korreléier den Tuple an den Zäitstempel, ier s du decidéiers, ob een era koum.

E Server hannert enger VPN hält seng ëffentlech Servicen-Anträg, a Leit fannen se ëmmer erëm. Wat an der Alarmsschlaang ukommt, ass net eng Entdeckung, mä dräi méiglech, a si bedeiten ënnerschiddlech Saachen. Déi éischt Aufgab ass, en oppene Service vun enger oppener Authentifikatioun ze trennen.

Gitt d'Beobachtungspunkten an der Rei duerch. Halt un, wann d'Beweiser d'Kategorie wiesselen, well déi nächst Etapp eng aner Fro beäntwert.

Éischt Etapp: wat d'Opnam tatsächlech gesinn huet

Eng Paketopnam registréiert, wat op hirem eegene Punkt um Wee sichtbar war. Dee Punkt kann virun enger spéiderer Filterentscheedung leien. En opgehollene Paket beweist, datt den Trafik do ukomm ass. Et beweist näischt iwwer dat, wat duerno geschitt ass.

Passt och op d'Schnittstell op. Eng Opnam um ëffentlechen Adapter an eng Opnam bannent dem Tunnel beschreiwen ënnerschiddlech Ukommspunkten, an en Alarm, dee fir de falschen zitéiert, féiert zu der falscher Konklusioun.

Windows filtert och op verschiddene Schichte vum Stack, dofir hält dat uerdentlech Modell, an deem d'Opnaminstrument op Schicht zwee an de Firewall op Schicht dräi sëtzt, den Kontakt mat engem echte Produkt net aus. D'Iwwersiicht vun Windows Filtering Platform beschreift d'Filteren iwwer Stackschichten, an dofir muss d'Beobachtungsuerdnung festgestallt ginn amplaz ugeholl.

Zweet Etapp: wat den Drop-Record feststellt

En Drop-Record seet, datt eng Politikgrenz dee Paket refuséiert huet. Dat ass staarkt Beweis. Et ass och en enge Beweis, well et eng Entscheedung op enger Grenz deckt. Näischt anescht am Stack gëtt vun him beschriwwen.

Korreléier iwwer den Tuple an den Zäitstempel. Selwecht Quell, selwecht Zil, selwechte Port, bannent der selwechter Sekonn. Ouni deem Match ass en ähnlechen Evenement an engem anere Log just en aneren Evenement, an hire Pairing produzéiert eng Geschicht, déi keen verdeedegen kann.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

En zouenen Port an en verworfene Paket gesinn vun dobaussen identesch aus an an dësen zwou Ausgabe komplett anescht. Dee Grëff ass de ganzen Grond, de lokalen Record ze liesen.

Drëtt Etapp: wat den Authentifikatiounsevenement beweist

En Authentifikatiounsevenement seet, datt eng Komponent d'Ufro wäit genuch veraarbecht huet, fir en Resultat ze registréieren. Et ass déi eenzeg vun den dräi Etappen, déi iwwer Identitéit schwätzt, an et seet näischt doriwwer, wéi vill Paketen virdru ukomm sinn.

Liest den tatsächlechen Kontext vum Evenement. Eng feelgeschloe Logon fir en Kont, deen net existéiert, ass Kaméidi vum Scannen. Eng feelgeschloe Logon fir en echte Kont aus enger plausibler Quell ass eng aner Prioritéit. Eng erfollegräich Sessioun ass eng ganz aner Kategorie vun Tëschefall.

Passt och op d'Protokollnimm op. RPC an RDP si getrennte Servicen mat getrennte Porten. En Detektor, deen een vun deenen zwee iwwerwaacht, deckt deen aneren net of. Instrumenter, déi Netzwierkaktivitéit summariséieren, soen net ëmmer, wéi en vun den zwee den Evenement produzéiert huet.

Eng korreléiert Probe schléit en Dashboard

Wielt ee geneemten Test, féiert en bewosst aus a verfollegt en vum Ufank bis zum Schluss: Ziladress an Schnittstell, richteg Quelladress, Serviceport, wirksam Firewallprofil a Regel, an de passenden Serviceresultat. Huelt all Upstream-Mapping oder Cloud-Firewall an dës Kette mat op, well eng erlaabend Regel do eng uerdentlech lokal Regel iwwerstëmme kann.

Dann trennt déi zwou Verflichtungen. Wann d'Administratioun just iwwer VPN soll sinn, setzt dat souwuel um ëffentleche Wee wéi och um Tunnelwee duerch, an haalt eng geneemten Erhuelungswee bäi. En ofgeleenten Versuch ze iwwerwaachen ass net déiselwecht Aufgab wéi ze decidéieren, wat de Server akzeptéiere soll.

Eng Geografieregel oder en blockéierten onverbonnene Protokoll ersetzen net d'Fannen vum observéierten Agang an der Entscheedung, déi en krut. Eng VPN och net: ausgehend Trafik duerch en Tunnel ze leeden dokumentéiert näischt iwwer déi agaang Autorisation.

Ähnlech Artikelen