RDP pakeičia klientą: kodėl duomenų bazė mato kitą hostą

Jūsų VPN taisyklė atmeta duomenų bazę, o bilietas uždaromas kaip ugniasienės gedimas, nors tas pats naudotojas atidaro paskelbtą darbalaukį ir be vargo užklausia tą duomenų bazę. Abu teiginiai teisingi. Darbalaukis yra kitas klientas, turintis savo adresą segmente, kuriuo taisyklės jau pasitiki, ir savo tapatybę, kai jungiasi toliau. Tai, kas atrodo prieštaringa taisyklė, dažniausiai yra antra užklausa, kurios niekas neįtraukė į peržiūrą.

Antroji užklausa turi savo kliento adresą

Kai programėlė sesijos viduje atidaro ryšį su duomenų baze, TCP rankos paspaudimas prasideda sesijos hoste. Jo šaltinio adresas priklauso to hosto tinklui, todėl kiekvienas maršrutizatorius ir duomenų bazės ugniasienė kelyje vertina darbalaukio segmentą, o ne tunelių baseiną, iš kurio atėjo jūsų nešiojamasis kompiuteris. VPN adresas tame sraute niekada nepasireiškia. Štai kodėl šaltiniu pagrįsta draudimo taisyklė gali būti kartu teisinga ir nesvarbi.

Šaltinį skaitykite sesijos viduje, o ne nešiojamajame kompiuteryje, tada patikrinkite tolesnį kelią iš tos pačios vietos. Abu atsakymai turėtų sutarti, kuris hostas teikia užklausą.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Palyginkite, ką praneša sesija, su adresu, kurį duomenų bazė užfiksavo tam pačiam laikui. Kai serverio žurnale rodomas darbalaukio potinklis, o ne tunelių baseinas, klausimas nustoja būti apie tai, ar taisyklė suveikė, ir tampa apie tai, kuris hostas atliko užklausą. Tai kitas tyrimas su kitu atsakinguoju.

Tapatybė keičiasi kartu su adresavimu

Tolesnis ryšys paprastai autentifikuojamas kaip sesijos žetonas, saugoma prisijungimo informacija arba programėlės paslaugos paskyra, ir išteklius užfiksuoja, kas jam buvo duota. Todėl audito pėdsakas, rodantis paslaugos paskyrą duomenų bazėje, neįrodo, kad užklausą įvykdė žmogus. Jis taip pat neatpažįsta to žmogaus. Tik paties darbalaukio sesijos žurnalas susieja tuos du įrašus.

Autorizacija vyksta du kartus, o antrasis sprendimas priimamas su kitais duomenimis. Pirmasis suteikia vardui nurodytam naudotojui prisijungimą prie darbalaukio, o antrasis suteikia tai, ką to naudotojo žetonas ar programėlės paskyra gali padaryti ištekliui. Pagalbos tarnybos grupė, kuri gali atidaryti darbalaukį, automatiškai nėra grupė, kuri gali skaityti klientų lentelę.

Pažiūrėkite į žetoną ir pavedimo kelią prieš rašydami prieigos pastabą. Abu matomi sesijos viduje, ir tai vienintelė vieta, kur atsakymas nėra spėjimas.

whoami /groups
klist
query session

Jei programėlė naudoja paslaugos paskyrą, toliau svarbios būtent jos teisės. To prisijungimo duomenų keitimas priklauso prieigos peržiūrai, o ne vėlesniam operaciniam svarstymui.

Kodėl tiesioginis kelias vis dar teisingai užblokuotas

Draudimo taisyklė nėra klaidinga vien todėl, kad tikslą galima pasiekti kitu keliu. Segmentavimas vertinamas pagal šaltinį, o darbalaukis yra segmente, kuris buvo leistas gerokai anksčiau, nei kas nors ėmė jį laikyti keliu į duomenų bazę. Niekas neapejo politikos. Politika tiesiog aprašo du skirtingus šaltinius su dviem skirtingais rezultatais.

Peržiūra turi atsakyti, ką gali pradėti kiekviena autorizuota sesija tame hoste. Naršyklės su išsaugotomis sesijomis, prijungti diskai, agentai, laikantys prisijungimo duomenis, ir vietoje klausančios paslaugos visi išplečia darbalaukio pasiekiamumą, ir nė vienas jų nepasireiškia biliete, kuris suteikė prisijungimą. Tas sąrašas yra tikrasis leidimų paviršius.

Išvardykite jį testinės sesijos viduje, o ne skaičiuoklėje. Keli komandų įrašai padengia didžiąją dalį paviršiaus.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Pasirinkite ribą sąmoningai

Trys formos tinka skirtingoms užduotims, ir pasirinkimas turėtų sekti užduotį, o ne įrankį, kuris atsitiktinai egzistuoja. Paskelbta programėlė atskleidžia vieną programą su savo leidimais, visas darbalaukis atskleidžia viską, ką gali naudotojo profilis, o siaura duomenų bazės paskyra su šaltinio apribojimu atskleidžia vieną išteklių visiškai be darbalaukio. Siauriausia forma, kuri dar atlieka darbą, yra ta, kurią reikia dokumentuoti. Viskas platesnio reikalauja šalia parašytos priežasties.

Vienai ataskaitai paskelbta programėlė ar apribota paskyra yra mažesnis leidimas nei bendras darbalaukis. Techninei priežiūrai, kuriai tikrai reikia kelių įrankių, darbalaukis gali būti tinkamas, bet tada patvirtinimas aprašo visą hostą, o ne vieną programėlę. Paklauskite ištekliaus savininko, su kuriuo iš jų jis sutinka.

Duomenų judėjimas yra atskiras jungiklis. Iškarpinė, diskų peradresavimas ir atsisiuntimai gali pernešti įmonės duomenis į klientą, o programėlės paleidimas nuotoliniu būdu pats savaime nepalieka duomenų nuotoliu.

Patikrinkite abu patvirtinimus ir pašalinimo kelią

Įraše turi būti du patvirtinimai: teisė pasiekti ir atidaryti darbalaukį ir teisė naudoti išteklius jo viduje. Kiekvienam nurodykite savininką ir laikykite antrąjį matomą kiekvienam, kuris peržiūri išteklių. Būtent apie antrąjį įrašą klaus auditorius, nes jis aprašo pasiekiamumą, o ne įėjimą. Parašykite abu prieš patvirtinant pakeitimą, o ne po pirmo incidento.

Tada patikrinkite pašalinimą, nes atjungta sesija gali pergyventi savo priežastį. Sesijų lentelė yra greičiausia vieta pamatyti, kas dar veikia.

query session
query user
qwinsta /server:rdsh01.corp.internal

Kliento atjungimas palieka nuotolinę sesiją veikiančią, o jos tinklo ryšiai ir podėlyje laikomi prisijungimo duomenys gali likti naudojami, kol ta sesija nesibaigs. Atsijunkite arba aiškiai užbaikite sesiją ir patvirtinkite, kad po to skaitiklis žemiau nustoja judėti į priekį. Pašalinimo testas, kuris tik uždaro nešiojamojo kompiuterio dangtį, nieko neįrodo. Atlikite tą patį testą vieną kartą su išjungta paskyra ir vieną kartą su panaikintu darbalaukio leidimu, tada užrašykite, ką išteklius užfiksavo kiekvienu atveju.