VPN pieteikšanās brīdinājumi nav iekļūšanas brīdinājumi: vērojiet sesiju
Nerasta pieteikšanās ir pārskatīšanas iemesls, nevis spriedums. Pirms saukt to par iekļūšanu, saistiet autentifikācijas ierakstu ar sesiju un pēc tam ar to, kam tā pieskārās.
VPN brīdinājums, kas iedarbojas jaunā valstī, šķiet galīgs, un parasti tāds nav. Autentifikācija saka, ka mēģinājums tika pieņemts; sesija saka, kurš savienojums to nesa; resursu ieraksti saka, kas notika šajā savienojumā. Katrs atbild uz citu jautājumu. Noteikums, kas visus trīs sapludina, pirmdien rada trīsdesmit biļetes un piektdien palaiž garām īsto gadījumu.
Ārvalstu adrese ir jautājums, nevis atbilde
Ceļošana, mobilo sakaru operatori, kas iziet citā valstī, uzņēmuma tīmekļa starpniekserveris un pārdalīts carrier-grade NAT baseins visi pārvieto šķietamo avotu, nepārvietojot uzbrucēju. Pieteikšanās ieraksts atspoguļo, no kurienes savienojums iekļuva tīklā, nevis kas turēja ierīci.
Apgrieztā neveiksme ir sliktāka, jo tā ir klusa. No paša lietotāja pilsētas izmantota nozagta parole rada pieteikšanos, kas ģeogrāfijas pārbaudē sakrīt ar visām iepriekšējām.
Ģeogrāfiju uzskatīt par spriedumu ir ar izmērāmu cenu. Ceļojoši klēpjdatori rada pastāvīgu pārskatīšanas plūsmu, pārskatītāji iemācās tos aizvērt nelasot, un ieradums saglabājas, līdz tajā pašā rindā nonāk īsts gadījums.
Trīs ierakstu veidi atbild uz trim dažādiem jautājumiem
Sāciet ar to, ko izvietotie produkti faktiski izstaro, nevis ar to, ko liek domāt produkta brošūra. Autentifikācijas lēmums nosauc apgalvoto identitāti, metodi un rezultātu. Sesijas dzīves cikls nosauc savienojumu, vārteju un piešķirto adresi, no sākuma līdz apstāšanai.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Tukša šūna ir vākšanas robs, nevis attaisnojums. Ja resursu notikumi nekad nenāk, aizdomīgas lasīšanas neesamība nozīmē, ka cauruļvadam nav ko ziņot, un kluss informācijas panelis apraksta cauruļvadu, nevis tīklu. Pierakstiet, kādus ierakstus izvietošana faktiski rada, pirms apsolāt no tiem atkarīgu noteikumu, un nosauciet katra trūkstošā plūsmas īpašnieku.
Uzskaites detaļas ir vieta, kur sesijas kļūst pārbaudāmas. RADIUS uzskaite, kas aprakstīta RFC 2866, pārnēsā sākuma, apstāšanās un starpposma atjauninājumus, kas piesaistīti sesijas identifikatoram, tāpēc sesija ar sākumu un bez apstāšanās ir robs, ko varat nosaukt, nevis noslēpums.
Savienojiet pēc sesijas, nevis pēc lietotājvārda
Viens konts likumīgi tur vairākas sesijas vienlaikus: klēpjdators, tālrunis, pa nakti pieslēgta atstāta laboratorijas mašīna. Katra šī lietotājvārda notikuma savienošana sapludina trīs ierīces vienā stāstā un pēc tam kombināciju nolasa kā kompromitāciju. Piešķirtās adreses arī tiek pārstrādātas, tāpēc savienojums, kas pēc sesijas beigām joprojām atbilst adresei, ievelk pagājušā mēneša ierīci šodienas incidentā. Glabājiet sesijas atslēgu blakus adresei un ierobežojiet atbilstību laika logam, ko sesija faktiski aptvēra.
Kur tulkojums noņem sākotnējo avotu, pirms pakalpojums to redz, izmantojiet identitāti, kas saglabājas šajā robežā, piemēram, savstarpēja TLS subjektu vai vienotas pieteikšanās apgalvojumu. Vienam pret vienu kartējuma izgudrošana starp adresi un personu ir tā pati kļūda ar papildu soļiem.
Brīdinājums bez īpašnieka ir panelis
Katram noteikumam vajag nosacījumu, to radošus nekaitīgus skaidrojumus, iegūstamus pierādījumus un rīkojošos personu. Atkārtota noraidīta administratīvā darbība, neizdevušos paroļu uzplūdums un kluss vācējs ir trīs atšķirīgi incidenti ar trim atšķirīgiem pulksteņiem.
Paziņojums nav ierobežošana, un izplatīšanas saraksts neko neierobežo. Dzīvas sesijas maiņai vajag komponentu, kas to spēj, vai tas būtu vārteja, kas nomet savienojumu, vai identitātes nodrošinātājs, kas atsauc sesiju. Novecojušas plūsmas un trūkstoši apstāšanās ieraksti arī pieder noteikuma tekstam, jo vācējs, kas diennakti neko nav nosūtījis, no paneļa izskatās tieši kā kluss tīkls. Atšķirība redzama tikai pašā cauruļvadā.
Pārbaudiet vākšanas ceļu, pirms uzticaties klusai nedēļai
Pierādiet cauruļvadu no sākuma līdz beigām, pirms regulējat vienu noteikumu. Tālāk dotās komandas apstiprina, ka autentifikācijas un uzskaites klausītāji darbojas, ka testa akreditācijas dati tiek noraidīti pareizā iemesla dēļ un ka sesijas notikumi joprojām pienāk:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject no testa pierāda, ka pieprasījums sasniedza serveri un koplietotais noslēpums sakrita, un tieši šo daļu cilvēki izlaiž. Tā vietā taimauts norāda uz noslēpumu, klausītāju vai filtru tā priekšā, un katrs zemākais brīdinājums nav pārbaudāms, līdz tas ir izlabots.
Pulksteņa stāvoklis ir svarīgs, jo korelācijas logi pieņem vienošanos. Par minūtēm novirzīta vārteja citādi tīru sesijas savienojumu padara neiespējamu, un pārskatītāji kompensē, paplašinot logu, līdz savienojums pārstāj atšķirt. Pārbaudiet novirzi pirms noteikuma rediģēšanas.
Pēc tam izlaidiet vienu noteikumu nekaitīgā testā: ģenerējiet pieteikšanos no negaidītas adreses, apstipriniet, ka brīdinājums iedarbojas, apstipriniet, ka reaģētājs var iegūt sesiju un tās resursu notikumus, un apstipriniet, ka biļete nes sesijas identifikatoru. Noteikums, kas rada saskaņotu stāstu, iztur. Noteikums, kas rada žurnāla rindu kaudzi, joprojām ir panelis. Pierakstiet rezultātu pie noteikuma, lai nākamā pārskatīšana sāktos ar pierādījumiem, nevis intuīciju.