VPN серверийн орж ирсэн анхааруулга: ажиглалтын цэгийг унших

VPN-ийн ард байрлах сервер нийтэд нээлттэй үйлчилгээний бүртгэлээ хадгалж, хүмүүс түүнийг байнга олж байдаг. Анхааруулгын дараалалд ирж буй зүйл нь нэг илрэл биш, харин боломжит гурван илрэл бөгөөд тэдгээр нь өөр өөр утгатай. Эхний ажил бол ил гарсан үйлчилгээг ил гарсан итгэмжлэлээс ялгах явдал юм.

Ажиглалтын цэгүүдийг дарааллаар нь боловсруул. Нотолгоо ангилалаа өөрчилмөгц зогс, учир нь дараагийн шат өөр асуултад хариулна.

Эхний шат: багц хураалт юуг үнэхээр харсан бэ

Багц хураалт нь зам дээрх өөрийн цэгт харагдсан зүйлийг бүртгэдэг. Тэр цэг нь дараагийн шүүлтүүрийн шийдвэрийн өмнө байрлаж болно. Хураасан багц нь урсгал тэнд хүрснийг нотолно. Энэ нь дараа юу болсныг огт нотлохгүй.

Интерфэйсийг ч мөн тэмдэглэ. Нийтийн адаптер дээрх хураалт ба хонгил доторх хураалт нь өөр өөр ирэлтийн цэгийг дүрсэлдэг бөгөөд буруу цэгийг дурдсан анхааруулга нь буруу дүгнэлтэд хүргэдэг.

Windows нь стекийн хэд хэдэн түвшинд шүүлтүүр хийдэг тул хураалтын хэрэгсэл хоёрдугаар түвшинд, галт хана гуравдугаар түвшинд суудаг гэсэн цэгцтэй загвар бодит бүтээгдэхүүнтэй тулгарахад тэсвэрлэдэггүй. Windows Filtering Platform-ийн ерөнхий тайлбар нь стекийн түвшин дамнасан шүүлтүүрийг дүрсэлдэг нь ажиглалтын дарааллыг таамаглах биш, тогтоох шаардлагатайг харуулж байна.

Хоёрдугаар шат: хаалтын бичлэг юуг тогтоодог вэ

Хаалтын бичлэг нь бодлогын хил тэр багцыг татгалзсаныг илэрхийлнэ. Энэ нь хүчтэй нотолгоо. Мөн энэ нь нарийн нотолгоо, учир нь нэг хилийн нэг шийдвэрийг хамардаг. Стекийн өөр юу ч үүгээр дүрслэгддэггүй.

Кортеж ба цагийн тэмдэглэгээгээр харьцуул. Ижил эх, ижил очих газар, ижил порт, нэг секундын дотор. Ийм тохиролгүйгээр өөр лог дахь төстэй үйл явдал бол зүгээр л өөр үйл явдал бөгөөд тэдгээрийг хослуулбал хэн ч хамгаалж чадахгүй түүх үүсдэг.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Хаалттай порт ба хаагдсан багц нь гаднаас ижил харагдаж, эдгээр хоёр гаралтад огт өөр байдаг. Тэр ялгаа нь локал бичлэгийг унших бүх шалтгаан юм.

Гуравдугаар шат: нэвтрэлтийн үйл явдал юуг нотолдог вэ

Нэвтрэлтийн үйл явдал нь бүрэлдэхүүн хэсэг хүсэлтийг хүлээн авч үр дүнг бүртгэх хүртэл боловсруулсныг илэрхийлнэ. Гурван шатаас зөвхөн энэ нь таних тэмдгийн тухай ярьдаг бөгөөд өмнө нь хэдэн багц ирснийг огт дурддаггүй.

Үйл явдлын бодит контекстийг унш. Байхгүй бүртгэлийн нэвтрэлтийн алдаа нь скан хийсний шуугиан. Бодит бүртгэлд үндэслэлтэй эх сурвалжаас ирсэн нэвтрэлтийн алдаа нь өөр тэргүүлэх чиглэл. Амжилттай сесс нь огт өөр тохиолдлын ангилал.

Протоколын нэрсийг ч ажигла. RPC ба RDP нь өөр порттой тусдаа үйлчилгээнүүд. Тэдний зөвхөн нэгийг ажигладаг детектор нөгөөг нь хамардаггүй. Сүлжээний үйл ажиллагааг нэгтгэн харуулдаг хэрэгслүүд хоёрын аль нь үйл явдлыг үүсгэснийг үргэлж заадаггүй.

Нэг харьцуулсан дээж нь хяналтын самбараас илүү

Нэг зөвшөөрөгдсөн тест сонгож, зориуд ажиллуулаад, эхнээс нь дуустал мөрд: очих хаяг ба интерфэйс, жинхэнэ эх хаяг, үйлчилгээний порт, үйлчлэх галт ханы профайл ба дүрэм, харгалзах үйлчилгээний үр дүн. Дээд талын зураглал эсвэл үүлэн галт ханыг ч гинжинд оруул, учир нь тэндхийн зөвшөөрөх дүрэм цэгцтэй локал дүрмийг дарж болно.

Дараа нь хоёр үүргийг ялга. Хэрэв удирдлага зөвхөн VPN-ээр байх ёстой бол нийтийн ба хонгилын зам аль алинд нь хэрэгжүүлж, зөвшөөрөгдсөн сэргээх замыг хадгал. Татгалзсан оролдлогыг хянах нь сервер юуг хүлээж авах ёстойг шийдэхтэй ижил ажил биш.

Газарзүйн дүрэм эсвэл хаагдсан холбоогүй протокол нь ажиглагдсан оролтыг болон түүний хүлээн авсан шийдвэрийг олсны орлуулалт болохгүй. VPN ч мөн тийм биш: гарч буй урсгалыг хонгилоор дамжуулах нь орж ирэх зөвшөөрлийн талаар юу ч батлахгүй.