Nessus per VPN: kur pastatyti skenerį prieš pirmąjį skenavimą

VPN piktograma šalia naršyklės nieko nesako apie procesą, kuris siunčia skenavimo paketus. Jei konsolė ir skeneris veikia skirtinguose hostuose, naršyklės tunelis yra vienas kelias, o skenavimo šaltinis – kitas. Pradėkite nuo vykdymo taško, tada eikite į išorę: maršrutas, autorizacija ir kredencialai. Šis skirtumas sąraše pirmas ne be priežasties.

Tai kontrolinis sąrašas prieš paleidimą, o ne skenavimo pamoka. Kiekvienas žingsnis duoda faktą, kurį galite įrašyti į darbo įrašą, kol skenerio dar nepaliko nė vienas paketas.

Pirmas patikrinimas: suraskite procesą, kuris siunčia zondus

Aiškiai nupieškite tris vaidmenis: naršyklę nešiojamame kompiuteryje A, skenavimo konsolę hoste B ir privatų tikslą C. Jei B taip pat vykdo skenavimo variklį, naršyklei reikia tik kelio į B. Jei darbą atlieka atskiras skenavimo įrenginys, tam įrenginiui reikia kelio į C.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Naršyklė, prisijungusi prie VPN, gali pasiekti konsolę, nors skeneris už jos dar neturi maršruto į C. Galimas ir atvirkštinis variantas: skeneris yra privačiame tinkle, o konsolė – nuotolinė. Išsiaiškinkite, kokią konfigūraciją iš tikrųjų naudojate, prieš keisdami bet kokią tinklo kontrolę. Pavadinkite įrenginį skenavimo konfigūracijoje, prieš kaltindami tinklą.

Jei skeneris veikia A, naršyklės hostas ir skeneris dalijasi kontekstu, bet tik tol, kol tas procesas išlaiko tą pačią vardų erdvę ir tą pačią maršrutų lentelę. Konteineris ar paslaugos paskyra gali nepaveldėti to, ką mato interaktyvioji naršyklė. Konsolė yra valdymo sąsaja, o ne skenavimo variklis.

Antras patikrinimas: įrodykite skenerio maršrutą ir DNS

Maršruto patikrinimą atlikite skenerio hoste, o ne nešiojamame kompiuteryje. Paklauskite branduolio, kokią sąsają ir kokią šliuzą jis naudotų tikslo adresui, tada pakartokite tikslo hosto vardui. Maršrutas, kuris egzistuoja IP, ir vardas, kuris sprendžiamas į kitą adresą, yra du skirtingi gedimai.

Patvirtinkite šaltinio adresą, kuris pasirodys tiksle. VPN klientas gali priskirti kitokį adresą, nei tikisi tikslo užkarda, o NAT įrenginys gali jį dar kartą perrašyti. Tikslo savininkui reikia stebimo šaltinio, o ne VPN profilyje atspausdinto adreso.

Patikrinkite ir grįžimo kelią. Skaitytuvas, kuris pasiekia tikslą, bet negauna atsakymų, turi maršrutizavimo arba užkardos problemą grįžimo kelyje, ir tai atrodo lygiai taip pat kaip nepasiekiamas tikslas.

Trečias patikrinimas: gaukite apimties ir požiūrio autorizaciją

Paprašykite tikslo savininko raštu įvardyti sistemas, paslaugas, aplinką, šaltinį ir laiko langą. Nuspręskite, kokį požiūrį vertinimas atstovauja: išorinis VPN naudotojas, leidžiamas vidinis klientas ar konkretus skenerio segmentas.

Privatus maršrutas nėra leidimas testuoti gretimus tinklus. Laikykite tikslų sąrašą siaurą, išvardykite pašalintas sistemas ir susitarkite dėl sustabdymo sąlygų bei kontakto, galinčio sustabdyti vykdymą. Skeneris mielai tikrina viską, ką pasiekia, ir būtent todėl apimtis turi būti aiški.

Įrašykite patvirtintą šaltinį tame pačiame dokumente. Jei stebimas skenerio šaltinis skiriasi nuo patvirtinto, vykdymas neatstovauja sutartam požiūriui, net kai tikslų sąrašas teisingas.

Ketvirtas patikrinimas: suderinkite kredencialus su vertinimo gyliu

Pasiekiamumo patikrinimas ir autentifikuotas vertinimas yra skirtingi testai. Porto atsakymas įrodo, kad kažkas atsakė; jis neįrodo, kad buvo vykdomi patikrinimai su kredencialais ar kad programa autorizavo paskyrą.

Naudokite skirtuosius kredencialus tik tada, kai sutarta apimtis reikalauja autentifikuotų patikrinimų. Patvirtinkite paskyros teises ir blokavimo politiką bei nuspręskite, kaip radiniai bus saugomi ir bendrinami, prieš skenavimui juos sukuriant.

Jei kredencialai neveikia, nepereikite tyliai prie neautentifikuoto vykdymo ir nevadinkite ataskaitos suplanuotu vertinimu. Rezultatas yra kitas testas su kita prasme, ir šis skirtumas priklauso ataskaitai.

Penktas patikrinimas: išsaugokite planą, tada paleiskite sąmoningai

Nessus skenavimo darbo eigoje šablono pasirinkimas, nustatymų konfigūravimas ir skenavimo išsaugojimas ar paleidimas yra atskiri žingsniai. Pasinaudokite šiuo atskyrimu, kad peržiūrėtumėte tikslų sąrašą, šaltinį ir tvarkaraštį prieš prasidedant bet kokiam srautui.

Prieš autorizuodami paleidimą, patikrinkite, kokį šaltinį leidžia VPN, kokį srautą jis neša ir kaip atsistato po nutrūkusio tunelio. Neplėskite užkardos prieigos vien todėl, kad preliminarus ryšys nepavyko; raskite sluoksnį, kuris jį atmetė, ir sutvarkykite tą sluoksnį.

Po vykdymo įrašykite skenerio hostą, jo stebimą šaltinį, tikslų sąrašą ir visus patikrinimus, kurių nepavyko užbaigti. Ataskaita, parengta iš kito šaltinio arba be numatytų kredencialų, neatstovauja pradiniam planui, ir tai pasakyti yra rezultato dalis.

Atšaukite darbo prieigą ir su saugomais rezultatais elkitės pagal sutartą procesą. Kontrolinis sąrašas baigiamas tik tada, kai įrodymai atitinka jūsų patvirtintą kelią, o ne tada, kai skenavimas tiesiog grąžino rezultatus.