RDP maina klientu: kāpēc datubāze redz citu resursdatoru

Jūsu VPN noteikums liedz datubāzi, un pieteikums tiek slēgts kā ugunsmūra kļūda, kamēr tas pats lietotājs atver publicētu darbvirsmu un bez problēmām vaicā šo datubāzi. Abi apgalvojumi ir patiesi. Darbvirsma ir cits klients ar savu adresi segmentā, kuram noteikumi jau uzticas, un ar savu identitāti, kad tā savienojas tālāk. Tas, kas izskatās pēc pretrunīga noteikuma, parasti ir otrs pieprasījums, kuru neviens nebija iekļāvis pārskatā.

Otrajam pieprasījumam ir sava klienta adrese

Kad lietotne sesijas iekšienē atver savienojumu ar datubāzi, TCP rokasspiediens sākas sesijas resursdatorā. Tā avota adrese pieder šī resursdatora tīklam, tāpēc katrs maršrutētājs un datubāzes ugunsmūris ceļā vērtē darbvirsmas segmentu, nevis tuneļu baseinu, no kura nāca jūsu portatīvais dators. VPN adrese šajā plūsmā nekad neparādās. Tāpēc avota noteikta lieguma noteikums var būt vienlaikus pareizs un nebūtisks.

Lasiet izcelsmi sesijas iekšienē, nevis portatīvajā datorā, pēc tam pārbaudiet tālāko ceļu tajā pašā vietā. Abām atbildēm jāsaskan par to, kurš resursdators veic pieprasījumu.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Salīdziniet to, ko ziņo sesija, ar adresi, kuru datubāze reģistrējusi tam pašam laikam. Kad servera žurnāls rāda darbvirsmas apakštīklu, nevis tuneļu baseinu, jautājums pārstāj būt par to, vai noteikums iedarbojās, un kļūst par to, kurš resursdators veica pieprasījumu. Tā ir cita izmeklēšana ar citu atbildīgo.

Identitāte mainās kopā ar adresāciju

Tālākais savienojums parasti autentificējas kā sesijas marķieris, saglabāta pieteikšanās informācija vai lietotnes pakalpojuma konts, un resursa ieraksta to, kas tam tika dots. Tāpēc audita pēda, kas uzrāda pakalpojuma kontu datubāzē, nepierāda, ka vaicājumu izpildīja cilvēks. Tā arī neidentificē šo cilvēku. Tikai pašas darbvirsmas sesijas žurnāls saista abus ierakstus.

Autorizācija notiek divreiz, un otrais lēmums tiek pieņemts ar citiem ievades datiem. Pirmais piešķir darbvirsmas pieteikšanos nosauktam lietotājam, bet otrais piešķir to, ko šī lietotāja marķieris vai lietotnes konts var darīt ar resursu. Palīdzības grupa, kas drīkst atvērt darbvirsmu, nav automātiski grupa, kas drīkst lasīt klientu tabulu.

Apskatiet marķieri un deleģēšanas ceļu pirms piekļuves piezīmes rakstīšanas. Abi ir redzami sesijas iekšienē, un tā ir vienīgā vieta, kur atbilde nav minējums.

whoami /groups
klist
query session

Ja lietotne izmanto pakalpojuma kontu, tālāk ir svarīgas tieši tā tiesības. Šīs pieteikšanās informācijas maiņa pieder piekļuves pārskatam, nevis vēlākai operatīvai domai.

Kāpēc tiešais ceļš joprojām ir pareizi bloķēts

Lieguma noteikums nav nepareizs tikai tāpēc, ka galamērķi var sasniegt citādi. Segmentācija tiek vērtēta pēc avota, un darbvirsma atrodas segmentā, kurš tika atļauts ilgi pirms tam, kad kāds to sāka uzskatīt par ceļu uz datubāzi. Nekas neapgāja politiku. Politika vienkārši apraksta divus dažādus avotus ar diviem dažādiem rezultātiem.

Pārskatam jāatbild, ko var sākt katra autorizētā sesija šajā resursdatorā. Pārlūki ar saglabātām sesijām, kartētie diskdziņi, aģenti, kas glabā pieteikšanās informāciju, un lokāli klausošies pakalpojumi visi paplašina darbvirsmas sasniedzamību, un neviens no tiem neparādās pieteikumā, kas piešķīra pieteikšanos. Šis uzskaitījums ir īstā atļauju virsma.

Uzskaitiet to testa sesijas iekšienē, nevis izklājlapā. Dažas komandas nosedz lielāko daļu virsmas.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Izvēlieties robežu apzināti

Trīs formas atbilst dažādiem uzdevumiem, un izvēlei jāseko uzdevumam, nevis rīkam, kas nejauši pastāv. Publicēta lietotne atklāj vienu programmu ar savām atļaujām, pilna darbvirsma atklāj visu, ko var lietotāja profils, un šaura datubāzes konta ar avota ierobežojumu atklāj vienu resursu pavisam bez darbvirsmas. Šaurākā forma, kas vēl pabeidz darbu, ir tā, kas jādokumentē. Viss plašākais prasa blakus rakstītu iemeslu.

Vienam pārskatam publicēta lietotne vai ierobežots konts ir mazāks piešķīrums nekā vispārēja darbvirsma. Apkopei, kurai tiešām vajag vairākus rīkus, darbvirsma var būt pareiza, bet tad apstiprinājums apraksta visu resursdatoru, nevis vienu lietotni. Pajautājiet resursa īpašniekam, kuram no tiem viņš piekrīt.

Datu pārvietošana ir atsevišķs slēdzis. Starpliktuve, disku pāradresācija un lejupielādes var aiznest uzņēmuma datus uz klientu, un lietotnes palaišana attālināti pati par sevi netur datus attālināti.

Pārbaudiet abus apstiprinājumus un noņemšanas ceļu

Ierakstā jābūt diviem apstiprinājumiem: tiesībām sasniegt un atvērt darbvirsmu un tiesībām izmantot resursus no tās iekšienes. Katram nosauciet īpašnieku un turiet otro redzamu ikvienam, kas pārskata resursu. Tieši par otro ierakstu jautās auditors, jo tas apraksta sasniedzamību, nevis iekļūšanu. Uzrakstiet abus pirms izmaiņu apstiprināšanas, nevis pēc pirmā incidenta.

Pēc tam pārbaudiet noņemšanu, jo atvienota sesija var pārdzīvot savu iemeslu. Sesiju tabula ir ātrākā vieta, kur redzēt, kas vēl darbojas.

query session
query user
qwinsta /server:rdsh01.corp.internal

Klienta atvienošana atstāj attālināto sesiju darbojamies, un tās tīkla savienojumi un kešatmiņā saglabātā pieteikšanās informācija var palikt lietojama, līdz šī sesija beidzas. Izlogojieties vai skaidri beidziet sesiju un apstipriniet, ka pēc tam skaitītājs lejāk pārstāj virzīties uz priekšu. Noņemšanas tests, kas tikai aizver portatīvā datora vāku, neko nepierāda. Veiciet to pašu testu vienreiz ar atspējotu kontu un vienreiz ar noņemtu darbvirsmas atļauju, pēc tam pierakstiet, ko resursa katrā gadījumā reģistrēja.