VPN-ийн нэвтрэх сэрэмжлүүлэг нь халдлагын сэрэмжлүүлэг биш: сессийг ажигла
Ер бусын нэвтрэлт бол хяналт хийх шалтгаан, шийтгэл биш. Халдлага гэж нэрлэхээс өмнө нэвтрүүлэлтийн бичлэгийг сесстэй, дараа нь сессийн хүрсэн зүйлтэй холбо.
Шинэ улсад ажиллах VPN сэрэмжлүүлэг шийдвэрлэхүйц мэт санагддаг ч ихэвчлэн тийм биш. Нэвтрүүлэлт оролдлого хүлээн авсныг хэлнэ; сесс нь аль холболт түүнийг зөөснийг хэлнэ; нөөцийн бичлэгүүд тэр холболтын дотор юу болсныг хэлнэ. Тус бүр өөр асуултад хариулна. Гурвыг нэгтгэсэн дүрэм даваа гарагт гуч билет үүсгэж, баасан гарагт жинхэнэ тохиолдлыг алддаг.
Гадаад хаяг бол асуулт, хариулт биш
Аялал, өөр улсад гарч буй гар утасны операторууд, корпорацийн вэб прокси болон дахин хуваарилагдсан carrier-grade NAT сан бүгд халдагчийг хөдөлгөхгүйгээр харагдах эх үүсвэрийг зөөдөг. Нэвтрэх бичлэг нь холболт сүлжээнд хаанаас орсныг харуулна, төхөөрөмжийг хэн барьж байсныг биш.
Эсрэг алдаа нь чимээгүй учраас илүү муу. Хэрэглэгчийн өөрийн хотоос ашигласан хулгайлагдсан нууц үг нь газарзүйн шалгалтад өмнөх бүх нэвтрэлттэй таарах нэвтрэлт үүсгэдэг.
Газарзүйг шийтгэл гэж үзэх нь хэмжигдэх өртөгтэй. Аялж буй зөөврийн компьютерууд тасралтгүй хяналтын урсгал үүсгэдэг, хянагчид уншилгүй хаахыг сурдаг, энэ дадал жинхэнэ хэрэг ижил дараалалд ирэх хүртэл үргэлжилдэг.
Гурван төрлийн бичлэг гурван өөр асуултад хариулна
Байршуулсан бүтээгдэхүүнүүд бодитоор юу гаргадгаас эхэл, бүтээгдэхүүний товхимол юу гаргаж болохыг сануулснаас биш. Нэвтрүүлэлтийн шийдвэр нь шаардсан таних тэмдэг, арга, үр дүнг нэрлэнэ. Сессийн амьдралын мөчлөг холболт, гарц, олгосон хаягийг эхлэлээс зогсолт хүртэл нэрлэнэ.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Хоосон нүд бол цуглуулалтын цоорхой, цагаатгал биш. Хэрэв нөөцийн үйл явдлууд хэзээ ч ирэхгүй бол сэжигтэй уншилт байхгүй нь дамжуулах хоолойд мэдээлэх зүйл байхгүй гэсэн үг бөгөөд чимээгүй хяналтын самбар сүлжээг биш, дамжуулах хоолойг дүрсэлдэг. Тэднээс хамаарах дүрмийг амлахаас өмнө байршуулалт яг ямар бичлэг үүсгэдгийг бичиж, дутуу урсгал бүрийн эзнийг нэрлэ.
Нягтлан бодох бүртгэлийн дэлгэрэнгүй мэдээлэл нь сессүүд шалгагдах боломжтой болдог газар юм. RFC 2866 стандартад тайлбарласан RADIUS бүртгэл нь сессийн таних тэмдэгтэй холбогдсон эхлэл, зогсолт, завсрын шинэчлэлтийг зөөдөг тул эхлэлтэй боловч зогсолтгүй сесс нь нууц биш, нэрлэж болох цоорхой юм.
Хэрэглэгчийн нэрээр биш, сессээр холбо
Нэг бүртгэл хуулийн дагуу нэгэн зэрэг хэд хэдэн сессийг хадгална: зөөврийн компьютер, утас, шөнийн турш холбогдсон үлдсэн лабораторийн машин. Тухайн хэрэглэгчийн нэрний бүх үйл явдлыг холбох нь гурван төхөөрөмжийг нэг түүх болгон хайлуулж, дараа нь хослолыг зөрчил гэж уншдаг. Олгосон хаягууд мөн дахин боловсруулагддаг тул сесс дууссаны дараа ч хаягтай таарч байгаа холбоос өнгөрсөн сарын төхөөрөмжийг өнөөдрийн хэрэгт чирж авчирдаг. Хаягийн дэргэд сессийн түлхүүрийг хадгалж, таарлыг сесс бодитоор хамарсан хугацааны цонхоор хязгаарла.
Үйлчилгээ үзэхээс өмнө орчуулга анхны эх үүсвэрийг арилгадаг газарт тэр хил дээр үлддэг таних тэмдгийг ашигла, жишээ нь харилцан TLS субъект эсвэл нэг удаагийн нэвтрэлтийн мэдэгдэл. Хаяг ба хүний хооронд нэг-нэг харгалзаа зохиох нь нэмэлт алхмуудтай ижил алдаа юм.
Эзэнгүй сэрэмжлүүлэг бол хяналтын самбар
Дүрэм бүрт нөхцөл, түүнийг үүсгэдэг хор хөнөөлгүй тайлбар, цуглуулах нотолгоо, үйлдэл хийдэг хүн хэрэгтэй. Давтагдсан татгалзсан захиргааны үйлдэл, бүтэлгүй нууц үгсийн тэсрэлт, чимээгүй цуглуулагч нь өөр өөр цагтай гурван өөр тохиолдол юм.
Мэдэгдэл нь хязгаарлалт биш, түгээлтийн жагсаалт юуг ч хязгаарлахгүй. Амьд сессийг өөрчлөхөд үүнийг хийж чадах бүрэлдэхүүн хэрэгтэй, холболтыг унагах гарц эсвэл сессийг хүчингүй болгох таних тэмдгийн нийлүүлэгч бай. Хуучирсан урсгал, дутуу зогсолтын бичлэг мөн дүрмийн текстэд хамаарна, учир нь өдөржингөө юу ч илгээгээгүй цуглуулагч хяналтын самбараас яг чимээгүй сүлжээ мэт харагддаг. Ялгаа нь зөвхөн дамжуулах хоолойд л харагдана.
Тайван долоо хоногт итгэхээс өмнө цуглуулалтын замыг шалга
Нэг ч дүрэм тохируулахаас өмнө дамжуулах хоолойг эхнээс нь дуустал нотол. Доорх командууд нэвтрүүлэлт ба бүртгэлийн сонсогчид ажиллаж байгаа, туршилтын итгэмжлэл зөв шалтгаанаар татгалзагдаж байгаа, сессийн үйл явдлууд хараахан ирж байгааг батална:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Туршилтаас гарсан Access-Reject нь хүсэлт серверт хүрч, хуваалцсан нууц таарсныг нотолдог бөгөөд хүмүүсийн алгасдаг хэсэг нь энэ юм. Харин таймаут нь нууц, сонсогч эсвэл түүний урд байгаа шүүлтүүр рүү заадаг бөгөөд үүнийг засах хүртэл доорх бүх сэрэмжлүүлэг баталгаажихгүй.
Цагийн төлөв чухал, учир нь хамаарлын цонхнууд зөвшилцлийг урьдчилан таамагладаг. Хэдэн минутаар хазайсан гарц нь бусад талаар цэвэр сессийн холболтыг боломжгүй мэт харуулдаг ба хянагчид холболт ялгахаа болих хүртэл цонхыг өргөтгөж нөхдөг. Дүрмийг засахаас өмнө хазайлтыг шалга.
Дараа нь нэг дүрмийг хор хөнөөлгүй туршилтад оруул: санаанд оромгүй хаягаас нэвтрэлт үүсгэ, сэрэмжлүүлэг ажиллаж байгааг батал, хариу үйлдэл үзүүлэгч сесс болон түүний нөөцийн үйл явдлуудыг татаж чадахыг батал, тикет сессийн таних тэмдгийг зөөж байгааг батал. Уялдаатай түүх үүсгэдэг дүрэм тэнцэнэ. Лог мөрүүдийн бөөгнөрөл үүсгэдэг дүрэм одоо ч хяналтын самбар юм. Үр дүнг дүрмийн дэргэд бүртгэ, дараагийн хяналт таамаглалаас биш, нотолгооноос эхэлцгээе.