Snort VPN malā: kur paketes var redzēt

Izsekojiet vienam pieprasījumam no attāla klēpjdatora, un tas šķērso vairākas robežas, pirms kaut kas to var pārbaudīt. Ārējais tunelis beidzas VPN procesā, iekšējā pakete parādās saskarnē, un iekšpusē esošā HTTPS sesija turpinās līdz lietojumprogrammai. Pārbaudes rīks redz tikai to, kas ir redzams punktā, kur paketes to sasniedz. Instalējiet to, neizlemjot par šo punktu, un žurnāli aprakstīs nepareizo slāni.

Viena pakete šķērso vairākas robežas

Pirms VPN pārtraukšanas novērotājs redz vienu ārējo savienojumu, parasti uz VPN portu, ar adresēm un izmēriem, bet bez iekšējas struktūras. Pēc pārtraukšanas iekšējās adreses, porti un protokoli ir pieejami tajā apstrādes punktā, kas tos nodod. Lietojumprogrammas pašas TLS paliek šifrēts, ja vien atsevišķs risinājums to nepārtrauc. Tie ir trīs redzamības līmeņi, un paketes nosaukums nepasaka, kuru jūs nopirkāt.

Uzzīmējiet ceļu ar atzīmētām robežām, pēc tam novietojiet sensoru uz līnijas, kur var atbildēt uz jautājumu, jo atrašanās vieta ir atbildes daļa. Robeža, kuru nevarat nosaukt, ir robeža, kuru nevarat pārbaudīt.

Apskatiet, kas ir nolasāms katrā punktā

Pārbaudiet saskarni un īsu ierakstu, pirms uzticaties jebkuram arhitektūras aprakstam.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Saišu saraksts rāda esošos tuneļus un fiziskās saskarnes, un ieraksts rāda tieši to, ko saņemtu tur pievienots sensors. Ja tas rāda iekšējās adreses, bet ne HTTP pieprasījuma rindas, jūs esat pēc VPN pārtraukšanas un joprojām ārpus lietojumprogrammas TLS. Tā ir parastā vieta tīkla noteikšanai un nepareizā vieta satura pārbaudei. Atkārtojiet ierakstu ārējā saskarnē, lai salīdzinātu, ko atklāj otra robeža.

Pasīva noteikšana pati nevar bloķēt

Snort pārbaudes dokumentācija atdala pasīvu novērošanu no darbības tiešajā plūsmā. Pasīvais režīms var brīdināt par datu plūsmu, to neapturot šajā ceļā.

snort -T -c /etc/snort/snort.lua

Testa režīms validē konfigurāciju, nepalaižot sensoru, un tas ir pareizais pirmais solis pirms jebkuras ieviešanas. Darbībai tiešajā plūsmā vajadzīgs saderīgs pakešu uztveršanas risinājums un atbilstoša izpildes konfigurācija, nevis tikai papildu karodziņš. Tāpēc žurnāla ieraksts nav pierādījums, ka pieprasījums tika novērsts, un process, kas palaists ar tiešajai plūsmai līdzīgu opciju, nepierāda, ka reālā pārsūtītā plūsma iet caur to. Pārliecinieties, kur ieviešana faktiski nodod paketes.

Izvēlieties izpildes režīmu pirms ieviešanas

Izlemiet, vai prasība ir redzamība vai novēršana, jo abiem ir atšķirīga atteices uzvedība. Pasīvs sensors, kas nomirst, ļauj plūsmai turpināties un rada uzraudzības robu; tiešās plūsmas ierīce, kas nomirst, var vai nu laist plūsmu cauri, vai to apturēt, un šai izvēlei jābūt apzinātai. Vienojieties par vienu atļautu plūsmu, vienu plūsmu, kas jānoraida, un uzvedību, ko vēlaties, kad sensors sabojājas. Turiet pārvaldības atjaunošanu atsevišķi no pārbaudītā ceļa, lai sensora kļūda neatņemtu arī jūsu piekļuvi.

Pēc tam pierakstiet redzamo plūsmu, apstrādes punktu un izpildes uzvedību. Šie trīs fakti, nevis instalētā pakete, apraksta, ko ieviešana faktiski dara.