VPN prisijungimo įspėjimai nėra įsibrovimo įspėjimai: stebėkite sesiją
Neįprastas prisijungimas yra peržiūros priežastis, o ne nuosprendis. Susiekite autentifikavimo įrašą su sesija, o paskui su tuo, ką ji palietė, prieš vadindami tai įsibrovimu.
Naujos šalies VPN įspėjimas atrodo galutinis, ir dažniausiai toks nėra. Autentifikavimas sako, kad bandymas buvo priimtas; sesija sako, kuri jungtis jį nešė; išteklių įrašai sako, kas įvyko toje jungtyje. Kiekvienas atsako į skirtingą klausimą. Taisyklė, kuri sujungia visus tris, pirmadienį sukuria trisdešimt bilietų, o penktadienį praleidžia tikrąjį atvejį.
Užsienio adresas yra klausimas, o ne atsakymas
Kelionės, kitos šalies mobilieji operatoriai, įmonės interneto tarpinis serveris ir perskirstytas carrier-grade NAT telkinys visi perkelia tariamą šaltinį, neperkeldami užpuoliko. Prisijungimo įrašas atspindi, iš kur jungtis pateko į tinklą, o ne kas laikė įrenginį.
Atvirkštinė nesėkmė yra blogesnė, nes ji tyli. Pavogtas slaptažodis, panaudotas iš paties naudotojo miesto, sukuria prisijungimą, kuris geografijos patikroje sutampa su visais ankstesniais prisijungimais.
Geografiją traktuoti kaip nuosprendį turi išmatuojamą kainą. Keliaujantys nešiojamieji kompiuteriai sukuria nuolatinį peržiūrų srautą, peržiūrėtojai išmoksta juos uždaryti neskaitę, ir įprotis išlieka, kol į tą pačią eilę patenka tikras atvejis.
Trys įrašų tipai atsako į tris skirtingus klausimus
Pradėkite nuo to, ką diegti produktai iš tikrųjų skleidžia, o ne nuo to, ką siūlo produkto brošiūra. Autentifikavimo sprendimas įvardija teigiamą tapatybę, metodą ir rezultatą. Sesijos gyvavimo ciklas įvardija jungtį, tinklų sietuvą ir priskirtą adresą, nuo pradžios iki sustabdymo.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Tuščia celė yra surinkimo spraga, o ne išteisinimas. Jei išteklių įvykiai niekada neatvyksta, įtartino skaitymo nebuvimas reiškia, kad dujotiekiui nėra ką pranešti, o tyli ataskaitų lenta apibūdina dujotiekį, o ne tinklą. Užrašykite, kokius įrašus diegimas iš tikrųjų sukuria, prieš žadėdami nuo jų priklausančią taisyklę, ir įvardykite kiekvieno trūkstamo srauto savininką.
Apskaitos detalės yra vieta, kur sesijos tampa tikrinamos. RADIUS apskaita, aprašyta RFC 2866, perduoda pradžios, sustabdymo ir tarpinius atnaujinimus, susietus su sesijos identifikatoriumi, todėl sesija su pradžia ir be sustabdymo yra spraga, kurią galite įvardyti, o ne mįslė.
Sujunkite pagal sesiją, o ne pagal naudotojo vardą
Viena paskyra teisėtai turi kelias sesijas vienu metu: nešiojamasis kompiuteris, telefonas, per naktį prijungtas paliktas laboratorijos kompiuteris. Sujungus kiekvieną to naudotojo vardo įvykį, trys įrenginiai sulydomi į vieną istoriją, o tada derinys perskaitomas kaip kompromitavimas. Priskirti adresai taip pat perdirbami, todėl sujungimas, kuris ir pasibaigus sesijai vis dar atitinka adresą, įtraukia praėjusio mėnesio įrenginį į šiandienos incidentą. Laikykite sesijos raktą šalia adreso ir apribokite atitikimą laiko langu, kurį sesija iš tikrųjų apėmė.
Kai vertimas pašalina pirminį šaltinį prieš paslaugai jį pamatant, naudokite tapatybę, kuri išlieka toje riboje, pavyzdžiui, abipusio TLS subjektą arba vienkartinio prisijungimo teiginį. Vieno prie vieno susiejimo tarp adreso ir asmens išradimas yra ta pati klaida su papildomais žingsniais.
Įspėjimas be savininko yra ataskaitų lenta
Kiekvienai taisyklei reikia sąlygos, ją sukeliančių nekenksmingų paaiškinimų, renkamų įrodymų ir veikiančio asmens. Pasikartojanti atmesta administracinė operacija, nepavykusių slaptažodžių pliūpsnis ir tylus rinkėjas yra trys skirtingi incidentai su trimis skirtingais laikrodžiais.
Pranešimas nėra sulaikymas, o platinimo sąrašas nieko neapriboja. Gyvai sesijai pakeisti reikia komponento, kuris tai gali, nesvarbu, ar tai tinklų sietuvas, nutraukiantis jungtį, ar tapatybės teikėjas, atšaukiantis sesiją. Pasenę srautai ir trūkstami sustabdymo įrašai taip pat priklauso taisyklės tekstui, nes rinkėjas, nieko nesiuntęs parą, iš ataskaitų lentos atrodo lygiai kaip tylus tinklas. Skirtumas matomas tik pačiame dujotiekyje.
Patikrinkite surinkimo kelią prieš pasitikėdami tylia savaite
Įrodykite dujotiekį nuo pradžios iki pabaigos prieš derindami vieną taisyklę. Toliau pateiktos komandos patvirtina, kad autentifikavimo ir apskaitos klausytojai veikia, kad bandymo prisijungimo duomenys atmetami dėl teisingos priežasties ir kad sesijos įvykiai vis dar atvyksta:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject iš bandymo įrodo, kad užklausa pasiekė serverį ir bendra paslaptis sutapo, ir būtent šią dalį žmonės praleidžia. Vietoj to laukimo laikas rodo į paslaptį, klausytoją arba filtrą prieš jį, ir kiekvienas žemesnis įspėjimas nepatikrinamas, kol tai nepataisyta.
Laikrodžio būsena svarbi, nes koreliacijos langai daro prielaidą, kad laikai sutampa. Keliomis minutėmis nukrypęs tinklų sietuvas kitaip švarų sesijos sujungimą padaro neįmanomą, o peržiūrėtojai kompensuoja plėsdami langą, kol sujungimas nustoja skirti. Prieš redaguodami taisyklę patikrinkite nuokrypį.
Tada paleiskite vieną taisyklę nekenksmingame bandyme: sukurkite prisijungimą iš netikėto adreso, patvirtinkite, kad įspėjimas suveikia, patvirtinkite, kad reaguojantysis gali gauti sesiją ir jos išteklių įvykius, ir patvirtinkite, kad bilietas neša sesijos identifikatorių. Taisyklė, kuri sukuria nuoseklią istoriją, praeina. Taisyklė, kuri sukuria krūvą žurnalo eilučių, vis dar yra ataskaitų lenta. Užrašykite rezultatą prie taisyklės, kad kita peržiūra prasidėtų nuo įrodymų, o ne nuo intuicijos.