Snort VPN krašte: kur paketai matomi

Sekite vieną užklausą iš nuotolinio nešiojamojo kompiuterio ir ji pereina kelias ribas, kol kas nors gali ją patikrinti. Išorinis tunelis baigiasi VPN procese, vidinis paketas pasirodo sąsajoje, o viduje esanti HTTPS sesija tęsiasi iki programos. Tikrinimo įrankis mato tik tai, kas matoma tame taške, kuriame paketai jį pasiekia. Įdiekite jį nenusprendę dėl to taško, ir žurnalai apibūdins ne tą sluoksnį.

Vienas paketas pereina kelias ribas

Prieš VPN užbaigimą stebėtojas mato vieną išorinį ryšį, paprastai į VPN prievadą, su adresais ir dydžiais, bet be vidinės struktūros. Po užbaigimo vidiniai adresai, prievadai ir protokolai yra prieinami tame apdorojimo taške, kuris juos perduoda. Programos savas TLS lieka užšifruotas, nebent atskiras sprendimas jį užbaigtų. Tai trys matomumo lygiai, ir paketo pavadinimas nepasako, kurį nusipirkote.

Nubrėžkite kelią su pažymėtomis ribomis, tada padėkite jutiklį ties linija, kurioje galima atsakyti į klausimą, nes vieta yra atsakymo dalis. Riba, kurios negalite pavadinti, yra riba, kurios negalite išbandyti.

Pažiūrėkite, kas skaitoma kiekviename taške

Patikrinkite sąsają ir trumpą įrašą prieš pasitikėdami bet kokiu architektūros aprašymu.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Nuorodų sąrašas rodo esamus tunelius ir fizines sąsajas, o įrašas rodo tiksliai tai, ką gautų ten prijungtas jutiklis. Jei jis rodo vidinius adresus, bet ne HTTP užklausų eilutes, esate po VPN užbaigimo ir vis dar už programos TLS ribų. Tai įprasta vieta tinklo aptikimui ir netinkama vieta turinio tikrinimui. Pakartokite įrašą išorinėje sąsajoje, kad palygintumėte, ką atskleidžia kita riba.

Pasyvus aptikimas negali blokuoti pats

Snort tikrinimo dokumentacija atskiria pasyvų stebėjimą nuo tiesioginio veikimo. Pasyvusis režimas gali įspėti apie srautą jo nesustabdydamas tame kelyje.

snort -T -c /etc/snort/snort.lua

Bandymo režimas patvirtina konfigūraciją nevykdydamas jutiklio, ir tai yra teisingas pirmas žingsnis prieš bet kokį diegimą. Tiesioginiam veikimui reikia suderintos paketų gavimo tvarkos ir atitinkamos vykdymo konfigūracijos, o ne vien papildomos vėliavėlės. Todėl žurnalo įrašas nėra įrodymas, kad užklausa buvo užkirsta, o procesas, paleistas su tiesiogine atrodančia parinktimi, neįrodo, kad tikrasis persiųstas srautas praeina pro jį. Patvirtinkite, kur įgyvendinimas iš tikrųjų perduoda paketus.

Pasirinkite vykdymo režimą prieš diegimą

Nuspręskite, ar reikalavimas yra matomumas, ar prevencija, nes abu turi skirtingą gedimo elgseną. Mirštantis pasyvus jutiklis palieka srautą tekėti ir sukuria stebėjimo spragą; mirštantis tiesioginis įrenginys gali praleisti srautą arba jį sustabdyti, ir tas pasirinkimas turi būti sąmoningas. Susitarkite dėl vieno leidžiamo srauto, vieno srauto, kuris turi būti atmestas, ir elgsenos, kurios norite, kai jutiklis sugenda. Laikykite valdymo atkūrimą atskirai nuo tikrinamo kelio, kad jutiklio klaida nepanaikintų ir jūsų prieigos.

Tada užrašykite matomą srautą, apdorojimo tašką ir vykdymo elgseną. Šie trys faktai, o ne įdiegtas paketas, apibūdina, ką diegimas iš tikrųjų daro.