VPN-Ameldewarnungen sinn keng Intrusiounswarnungen: kuckt d'Session un
Eng ongewéinlech Umeldung ass en Ugrëff fir eng Iwwerpréiwung, keen Urteel. Verknäppt den Authentifikatiounsrekord mat enger Session, an duerno mat deem, wat se beréiert huet, ier dir et Intrusioun nennt.
Eng VPN-Warnung, déi bei engem neie Land ausgeléist gëtt, wierkt entscheedend, an ass et meeschtens net. D'Authentifikatioun seet, datt en Ugrëff ugeholl gouf; d'Session seet, wéi eng Verbindung en gedroen huet; d'Ressourcerecorden soen, wat an där Verbindung geschitt ass. Jiddweree beäntwert eng aner Fro. Eng Regel, déi all dräi zesummebréngt, produzéiert drësseg Ticketten um Méindeg a verpasst de richtege Fall um Freideg.
Eng auslännesch Adress ass eng Fro, keng Äntwert
Reesen, Mobilfunkbetreiber, déi an engem anere Land erausginn, en Unternehmens-Webproxy an en nei zougewisene Carrier-Grade-NAT-Pool verréckelen all déi scheinbar Quell, ouni den Ugräffer ze verréckelen. Den Ameldungsrekord weist, wou d'Verbindung an d'Netz komm ass, net wien d'Apparat gehal huet.
De Géigendeel-Fehler ass méi schlëmm, well en stëll ass. En geklauten Passwuert, dat aus der Stad vum Benotzer selwer benotzt gëtt, produzéiert eng Umeldung, déi op der Geografiepréifung mat all fréierer Umeldung iwwereneestëmmt.
Geografie als Urteel ze behandelen huet eng moossbar Käschten. Reesend Laptopen produzéieren e stännege Stroum vun Iwwerpréiwungen, d'Iwwerpréifer léieren se ze schléissen ouni ze liesen, an d'Gewunnecht hält, bis e richtege Fall an déiselwecht Schlaang kënnt.
Dräi Aarte vu Recorden beäntweren dräi verschidde Froe
Fänkt domat un, wat déi agesat Produkter tatsächlech ausginn, net domat, wat eng Produktbroschür suggeréiert, datt se et kéinten. D'Authentifikatiounsentscheedung nennt déi behaapt Identitéit, d'Method an d'Resultat. De Liewenszyklus vun der Session nennt d'Verbindung, de Gateway an déi zougewisen Adress, vum Ufank bis zum Stopp.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Eng eidel Zell ass eng Lück an der Sammlung, keen Acquittement. Wa Ressourcenevenementer ni ukommen, heescht d'Fehlen vun enger verdächteger Liesung, datt d'Pipeline näischt ze mellen huet, an en stille Dashboard beschreift d'Pipeline an net d'Netz. Schreift op, wéi eng Recorden d'Agesat tatsächlech produzéiert, ier dir eng Regel versprécht, déi dovun ofhänkt, an nennt den Eegentümer vun all fehlendem Feed.
D'Comptabilitéitsdetailer sinn de Punkt, wou Sessiounen iwwerpréifbar ginn. D'RADIUS-Comptabilitéit, wéi se am RFC 2866 beschriwwe gëtt, dréit Start-, Stopp- an Tëschendaktualiséierungen, déi un eng Sessionkennung gebonne sinn, sou datt eng Session mat engem Start an ouni Stopp eng Lück ass, déi dir nenne kënnt, anstatt eng Rëtsel.
Verknäppt op der Session, net um Benotzernumm
En eenzege Kont hält berechtegt verschidde Sessiounen gläichzäiteg: e Laptop, en Telefon, eng Labormaschinn, déi iwwer Nuecht ugeschloss gelooss gouf. All Evenement fir dëse Benotzernumm ze verknäppen, verschmëlzt dräi Apparater an eng Geschicht an liest d'Kombinatioun dann als Kompromiss. Zougewisen Adresse ginn och recycléiert, sou datt eng Verbindung, déi weider enger Adress entsprécht, nodeems d'Session eriwwer ass, den Apparat vum leschte Mount an den haitegen Tëschefall zitt. Halt de Session-Schlëssel nieft der Adress a begrenz d'Entspriechung op d'Zäitfenster, déi d'Session tatsächlech ofgedeckt huet.
Wou d'Iwwersetzung d'Originalquell ewechhëlt, ier en Déngscht se gesäit, benotzt d'Identitéit, déi op dëser Grenz iwwerlieft, wéi en géigesäitegen TLS-Sujet oder eng Single-Sign-on-Aussag. Eng een-zu-eng Kartéierung tëscht enger Adress an enger Persoun ze erfinden ass dee selwechte Feeler mat zousätzleche Schrëtt.
Eng Warnung ouni Eegentümer ass en Dashboard
All Regel brauch eng Bedingung, déi harmlos Erklärungen, déi se produzéieren, d'Beweiser, déi ze huelen sinn, an d'Persoun, déi handelt. Eng widderholl ofgeleent administrativ Operatioun, e Schwall vu gescheiterten Passwierder an e stille Sammler sinn dräi verschidden Tëschefäll mat dräi verschiddene Klacken.
D'Notifikatioun ass keng Containment, an eng Verdeelerlëscht beschränkt näischt. Eng lieweg Session ze änneren erfuerdert d'Komponent, déi et kann, sief et de Gateway, deen d'Verbindung fale léisst, oder den Identitéitsprovider, deen d'Session zréckzitt. Veralt Fiederen a fehlend Stopprecorden gehéieren och an den Regeltext, well e Sammler, deen en Dag laang näischt geschéckt huet, vum Dashboard aus genee wéi en stëllt Netz ausgesäit. Den Ënnerscheed ass nëmme an der Pipeline selwer ze gesinn.
Préift de Sammelwee, ier dir enger stëller Woch vertraut
Beweist d'Pipeline vum Ufank bis zum Enn, ier dir eng eenzeg Regel ajustéiert. D'Befehler hei drënner bestätegen, datt d'Lauschterer fir Authentifikatioun a Comptabilitéit lafen, datt en Test-Identitéitsnoweis aus dem richtege Grond ofgeleent gëtt an datt Sessionsevenementer nach ëmmer ukommen:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
En Access-Reject aus dem Test beweist, datt d'Ufro de Server erreecht huet an datt de gedeelte Geheimnis iwwerenee gestëmmt huet, an dat ass den Deel, deen d'Leit iwwersprangen. En Timeout weist dogéint op de Geheimnis, de Lauschterer oder e Filter virun him, an all Warnung ënnersträims ass net iwwerpréifbar, bis dat korrigéiert ass.
Den Zoustand vun der Klack ass wichteg, well Korrelatiounsfensteren Iwwereneestëmmung viraussetzen. En Gateway, dee Minutten ofwäicht, léisst eng soss propper Sessionverbindung onméiglech erschéngen, an d'Iwwerpréifer kompenséieren, andeem se d'Fenster verbreeden, bis d'Verbindung ophält ze ënnerscheeden. Préift d'Ofwäichung, ier dir d'Regel änneren.
Duerno setzt eng Regel ënner engem harmlose Test: generéiert eng Umeldung vun enger onerwaarter Adress, bestätegt, datt d'Warnung ausgeléist gëtt, bestätegt, datt de Reagéierende d'Session an hir Ressourcenevenementer kann zéien, a bestätegt, datt den Ticket d'Sessionkennung dréit. Eng Regel, déi eng kohärent Geschicht produzéiert, besteet. Eng Regel, déi e Koup Logzeilen produzéiert, ass nach ëmmer en Dashboard. Schreift d'Resultat nieft d'Regel, sou datt déi nächst Iwwerpréiwung mat Beweiser ufänkt an net mat Intuition.