Влезно предупредување на VPN сервер: прочитајте ја точката на набљудување

Серверот зад VPN ги чува своите јавни записи за услуги, а луѓето сѐ уште ги наоѓаат. Во редот за предупредувања пристигнува не едно откритие, туку три можни, и тие значат различни работи. Првата задача е да се оддели изложена услуга од изложени акредитиви.

Поминете ги точките на набљудување по ред. Запрете кога доказите ја менуваат категоријата, зашто следната фаза одговара на друго прашање.

Прва фаза: што всушност виде снимањето

Снимањето пакети запишува што било видливо во неговата сопствена точка на патеката. Таа точка може да стои пред подоцнежна одлука за филтрирање. Снименото пакетче докажува дека сообраќајот стигнал таму. Тоа не докажува ништо за тоа што се случило потоа.

Обрнете внимание и на интерфејсот. Снимање на јавниот адаптер и снимање внатре во тунелот опишуваат различни точки на пристигнување, а предупредувањето што го цитира погрешниот води до погрешен заклучок.

Windows исто така филтрира на неколку слоеви од стекот, па уредниот модел во кој алатката за снимање седи на вториот слој, а огнениот ѕид на третиот, не преживува контакт со вистински производ. Прегледот на Windows Filtering Platform опишува филтрирање низ слоевите на стекот, и токму затоа редоследот на набљудување мора да се утврди, а не да се претпостави.

Втора фаза: што утврдува записот за отфрлање

Записот за отфрлање вели дека граница на политика го одбила тоа пакетче. Тоа е силен доказ. Тоа е и тесен доказ, зашто покрива една одлука на една граница. Ништо друго во стекот не е опишано со него.

Поврзете по торката и временската ознака. Ист извор, иста дестинација, ист порт, во истата секунда. Без тоа совпаѓање, сличен настан во друг дневник е едноставно друг настан, а нивното спарување создава приказна што никој не може да ја одбрани.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Затворен порт и отфрлено пакетче изгледаат исто однадвор и сосема различно во овие два излеза. Токму таа разлика е целата причина да се чита локалниот запис.

Трета фаза: што докажува настанот за автентикација

Настанот за автентикација вели дека компонента го обработила барањето доволно за да запише резултат. Тоа е единствената од трите фази што зборува за идентитет, и не кажува ништо за тоа колку пакетчиња пристигнале пред него.

Прочитајте го вистинскиот контекст на настанот. Неуспешна најава за сметка што не постои е шум од скенирање. Неуспешна најава за вистинска сметка од веродостоен извор е друг приоритет. Успешна сесија е сосема друга категорија на инцидент.

Внимавајте и на имињата на протоколите. RPC и RDP се одделни услуги со одделни порти. Детекторот што надгледува една од нив не ја покрива другата. Алатките што ја сумираат мрежната активност не секогаш кажуваат која од двете го создала настанот.

Еден поврзан примерок победува контролна табла

Изберете еден одобрен тест, извршете го намерно и проследете го од почеток до крај: адреса на дестинација и интерфејс, вистинска адреса на извор, порт на услуга, делотворен профил и правило на огнениот ѕид, и соодветниот резултат на услугата. Вклучете во тој синџир секое горно мапирање или облачен огнен ѕид, зашто дозволувачко правило таму може да го надвладее уредното локално.

Потоа одделете ги двете обврски. Ако администрацијата треба да биде само преку VPN, спроведете го тоа и на јавната и на тунелската патека, задржувајќи одобрена рута за враќање. Набљудувањето на одбиен обид не е истата задача како одлучувањето што треба да прифати серверот.

Географско правило или блокиран неповрзан протокол не го заменуваат наоѓањето на набљудуваниот влез и одлуката што ја добил. Ни VPN не го заменува: насочувањето на излезниот сообраќај низ тунел не документира ништо за влезната авторизација.