RDP клиентийг өөрчилдөг: мэдээллийн сан яагаад өөр хост хардаг вэ

Таны VPN дүрэм мэдээллийн санг хориглож, тасалбар фаерволын гэмтэл гэж хаагдах боловч мөн тэр хэрэглэгч нийтэлсэн ажлын талбарыг нээж, тэр санд ямар ч асуудалгүй асуулга хийдэг. Хоёр мэдэгдэл хоёулаа үнэн. Ажлын талбар нь өөр клиент бөгөөд дүрмүүд аль хэдийн итгэдэг сегментэд өөрийн хаягтай, цааш холбогдохдоо өөрийн таних тэмдэгтэй. Зөрчилтэй дүрэм мэт харагдах зүйл нь ихэвчлэн хэн ч хяналтад оруулаагүй хоёр дахь хүсэлт юм.

Хоёр дахь хүсэлт өөрийн клиент хаягтай

Сессийн доторх аппликейшн мэдээллийн сантай холболт нээх үед TCP гар барилт сессийн хост дээр эхэлдэг. Түүний эх хаяг нь тухайн хостийн сүлжээнд хамаарах тул зам дахь маршрутизатор, мэдээллийн сангийн фаервол бүр таны зөөврийн компьютер ирсэн туннелийн сан биш, ажлын талбарын сегментийг үнэлдэг. VPN хаяг тэр урсгалд хэзээ ч харагдахгүй. Иймд эх сурвалжид суурилсан хориглох дүрэм нэгэн зэрэг зөв бөгөөд хамааралгүй байж болно.

Эх сурвалжийг зөөврийн компьютерээс биш сессийн дотроос уншиж, дараа нь мөн тэр газраас цаашдын замыг шалгана уу. Хоёр хариулт аль хост хүсэлт илгээж байгаа талаар санал нийлэх ёстой.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Сессийн мэдээлж буй зүйлийг мэдээллийн сан тэр мөчид бүртгэсэн хаягтай харьцуулна уу. Серверийн лог туннелийн сангийн оронд ажлын талбарын дэд сүлжээг харуулбал асуулт дүрэм ажилласан эсэхээс аль хост хүсэлт хийсэн болох руу шилждэг. Энэ нь өөр эзэнтэй өөр мөрдөн шалгалт юм.

Таних тэмдэг хаяглалтын хамт өөрчлөгддөг

Цаашдын холболт ихэвчлэн сессийн токен, хадгалагдсан нэвтрэх мэдээлэл эсвэл аппликейшны үйлчилгээний бүртгэлээр баталгаажиж, нөөц нь өөрт нь өгөгдсөнийг бүртгэдэг. Тиймээс мэдээллийн сан дээр үйлчилгээний бүртгэл харуулсан аудитын мөр нь асуулгыг хүн гүйцэтгэсэн гэдгийг батлахгүй. Энэ нь тэр хүнийг мөн танихгүй. Зөвхөн ажлын талбарын өөрийн сессийн лог л тэр хоёр бичлэгийг холбодог.

Зөвшөөрөл хоёр удаа явагддаг бөгөөд хоёр дахь шийдвэр өөр өгөгдлөөр гардаг. Эхнийх нь нэрлэсэн хэрэглэгчид ажлын талбарт нэвтрэх эрх өгдөг бол хоёр дахь нь тэр хэрэглэгчийн токен эсвэл аппликейшны бүртгэл нөөцтэй юу хийж чадахыг өгдөг. Ажлын талбар нээж чадах тусламжийн баг автоматаар харилцагчийн хүснэгт уншиж чадах баг биш.

Хандалтын тэмдэглэл бичихийн өмнө токен болон шилжүүлэх замыг харна уу. Хоёулаа сессийн дотроос харагддаг бөгөөд хариулт таамаг биш цорын ганц газар нь тэр.

whoami /groups
klist
query session

Аппликейшн үйлчилгээний бүртгэл ашигладаг бол цаашид түүний эрх нь чухал. Тэр нэвтрэх мэдээллийг солих нь хандалтын хяналтад хамаарах бөгөөд дараагийн үйл ажиллагааны бодолд биш.

Шууд зам яагаад зөв хэвээр хаагдсан бэ

Хориглох дүрэм зөвхөн очих газрыг өөр замаар хүрч болох учраас буруу биш. Сегментчлэл эх сурвалж тус бүрээр үнэлэгддэг бөгөөд ажлын талбар нь хэн нэгэн үүнийг мэдээллийн сан руу хүрэх зам гэж бодохоос нэлээд өмнө зөвшөөрөгдсөн сегмент дээр байрладаг. Юу ч бодлогыг тойроогүй. Бодлого нь хоёр өөр үр дүнтэй хоёр өөр эх сурвалжийг л дүрсэлдэг.

Хяналт нь тэр хост дээрх зөвшөөрөгдсөн сесс бүр юу эхлүүлж чадах вэ гэдэгт хариулах ёстой. Хадгалсан сесстэй хөтөч, холбосон диск, нэвтрэх мэдээлэл барьдаг агентууд, локалаар сонсдог үйлчилгээнүүд бүгд ажлын талбарын хүрээг өргөжүүлдэг бөгөөд тэдгээрийн аль нь ч нэвтрэх эрх өгсөн тасалбарт харагдахгүй. Тэр жагсаалт л жинхэнэ зөвшөөрлийн гадаргуу юм.

Түүнийг хүснэгтээс биш, туршилтын сессийн дотроос тоолно уу. Хэдэн команд гадаргуугийн ихэнх хэсгийг хамардаг.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Хилийг санаатайгаар сонгоно уу

Гурван хэлбэр өөр ажилд тохирдог бөгөөд сонголт нь санамсаргүй байгаа хэрэгсэл биш, ажлыг дагах ёстой. Нийтэлсэн аппликейшн өөрийн зөвшөөрөлтэй нэг программыг ил гаргадаг, бүрэн ажлын талбар хэрэглэгчийн профайл юу хийж чадахыг бүгдийг ил гаргадаг, харин эх сурвалжийн хязгаарлалттай нарийн мэдээллийн сангийн бүртгэл ажлын талбаргүйгээр нэг нөөцийг ил гаргадаг. Ажлыг одоо ч гүйцэтгэдэг хамгийн нарийн хэлбэр нь баримтжуулах хэлбэр юм. Үүнээс өргөн бүхэн хажууд нь бичсэн шалтгаан шаарддаг.

Нэг тайланд нийтэлсэн аппликейшн эсвэл хязгаарлалттай бүртгэл ерөнхий ажлын талбараас бага зөвшөөрөл юм. Үнэхээр хэд хэдэн хэрэгсэл шаарддаг засвар үйлчилгээнд ажлын талбар зөв байж болох ч тэгвэл зөвшөөрөл нь нэг аппликейшныг биш, бүх хостийг дүрсэлдэг. Нөөцийн эзнээс эдгээрийн алийг нь зөвшөөрч байгааг асууна уу.

Өгөгдлийн хөдөлгөөн нь тусдаа унтраалга юм. Солих самбар, дискийг дахин чиглүүлэх, татах үйлдэл компанийн өгөгдлийг клиент рүү зөөж болох бөгөөд аппликейшныг алсаас ажиллуулах нь өгөгдлийг өөрөө алсад байлгадаггүй.

Хоёр зөвшөөрөл болон хасах замыг шалгана уу

Бичлэгт хоёр зөвшөөрөл хамаарна: ажлын талбарт хүрч нээх эрх, түүний дотроос нөөц ашиглах эрх. Тус бүрд эзэн нэрлэж, хоёр дахь нь нөөцийг хянадаг хүн бүрт харагдахуйц байлга. Аудитор яг тэр хоёр дахь бичлэгийн талаар асуух болно, учир нь энэ нь нэвтрэлтийг биш, хүрээг дүрсэлдэг. Хоёуланг нь өөрчлөлт батлагдахаас өмнө бич, эхний тохиолдлын дараа биш.

Дараа нь хасалтыг шалгана уу, учир нь салгасан сесс өөрийн шалтгаанаас удаан амьдарч болно. Сессийн хүснэгт нь юу ажиллаж байгааг харах хамгийн хурдан газар юм.

query session
query user
qwinsta /server:rdsh01.corp.internal

Клиентийг салгах нь алсын сессийг ажиллуулсаар үлдээдэг бөгөөд түүний сүлжээний холболт, кэшлэсэн нэвтрэх мэдээлэл тэр сесс дуустал ашиглагдах боломжтой хэвээр байж болно. Системээс гар, эсвэл сессийг тодорхой дуусга, дараа нь доод тоолуур цааш явалтаа зогсохыг баталгаажуул. Зөвхөн зөөврийн компьютерийн тагийг хаадаг хасалтын шалгалт юу ч батлахгүй. Мөн тэр шалгалтыг нэг удаа бүртгэл идэвхгүй үед, нэг удаа ажлын талбарын зөвшөөрөл хасагдсан үед хийж, дараа нь тохиолдол бүрд нөөц юу бүртгэснийг бич.