Isyarat Masuk pada Pelayan VPN: Baca Titik Pemerhatian

Pelayan di belakang VPN menyimpan entri perkhidmatan awamnya, dan orang ramai terus menemuinya. Apa yang tiba dalam baris gilir isyarat bukan satu penemuan tetapi tiga kemungkinan, dan setiap satu membawa maksud berbeza. Tugas pertama ialah memisahkan perkhidmatan yang terdedah daripada kelayakan yang terdedah.

Lalui titik pemerhatian mengikut urutan. Berhenti apabila bukti bertukar kategori, kerana peringkat seterusnya menjawab soalan yang berlainan.

Peringkat Satu: Apa yang Sebenarnya Dilihat oleh Tangkapan

Tangkapan paket merekod apa yang kelihatan pada titiknya sendiri di sepanjang laluan. Titik itu mungkin terletak sebelum keputusan penapisan kemudian. Paket yang ditangkap membuktikan trafik tiba di situ. Ia tidak membuktikan apa-apa tentang apa yang berlaku selepasnya.

Perhatikan antara muka juga. Tangkapan pada penyesuai awam dan tangkapan di dalam terowong menggambarkan titik ketibaan yang berbeza, dan isyarat yang menyebut titik yang salah membawa kepada kesimpulan yang salah.

Windows juga menapis pada beberapa lapisan tindanan, jadi model kemas yang meletakkan alat tangkapan pada lapisan dua dan firewall pada lapisan tiga tidak bertahan apabila berhadapan dengan produk sebenar. Gambaran keseluruhan Windows Filtering Platform menerangkan penapisan merentas lapisan tindanan, sebab itulah urutan pemerhatian perlu ditetapkan dan bukan diandaikan.

Peringkat Dua: Apa yang Dibuktikan oleh Rekod Penolakan

Rekod penolakan menyatakan bahawa sempadan dasar menolak paket itu. Ia bukti yang kukuh. Ia juga bukti yang sempit, kerana ia merangkumi satu keputusan pada satu sempadan. Tiada apa-apa lagi dalam tindanan yang diterangkan olehnya.

Padankan pada tuple dan cap masa. Sumber sama, destinasi sama, port sama, dalam saat yang sama. Tanpa padanan itu, peristiwa yang kelihatan serupa dalam log lain hanyalah peristiwa lain, dan memasangkannya menghasilkan cerita yang tiada siapa dapat pertahankan.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Port tertutup dan paket yang ditolak kelihatan serupa dari luar dan sama sekali berbeza dalam dua output ini. Perbezaan itulah seluruh sebab untuk membaca rekod tempatan.

Peringkat Tiga: Apa yang Dibuktikan oleh Peristiwa Pengesahan

Peristiwa pengesahan menyatakan bahawa sesuatu komponen memproses permintaan itu cukup jauh untuk merekod hasilnya. Ia satu-satunya daripada tiga peringkat yang bercakap tentang identiti, dan ia tidak menyatakan apa-apa tentang berapa banyak paket yang tiba sebelum itu.

Baca konteks sebenar peristiwa itu. Log masuk gagal untuk akaun yang tidak wujud ialah bunyi bising daripada pengimbasan. Log masuk gagal untuk akaun sebenar dengan sumber yang munasabah ialah keutamaan yang berbeza. Sesi yang berjaya ialah kategori insiden yang jauh berbeza.

Perhatikan nama protokol juga. RPC dan RDP ialah perkhidmatan berasingan dengan port berasingan. Pengesan yang memantau salah satunya tidak meliputi yang satu lagi. Alat yang merumuskan aktiviti rangkaian tidak selalu menyatakan yang mana antara kedua-duanya menghasilkan peristiwa itu.

Satu Sampel Terpadan Mengalahkan Papan Pemuka

Pilih satu ujian yang dibenarkan, jalankannya dengan sengaja, dan jejaki dari hujung ke hujung: alamat destinasi dan antara muka, alamat sumber sebenar, port perkhidmatan, profil dan peraturan firewall yang berkesan, serta hasil perkhidmatan yang sepadan. Sertakan sebarang pemetaan huluan atau firewall awan dalam rantaian itu, kerana peraturan yang longgar di sana boleh mengatasi peraturan tempatan yang kemas.

Kemudian pisahkan dua tanggungjawab itu. Jika pentadbiran sepatutnya melalui VPN sahaja, kuatkuasakannya pada kedua-dua laluan awam dan terowong sambil mengekalkan laluan pemulihan yang diluluskan. Memantau cubaan yang ditolak bukan tugas yang sama dengan memutuskan apa yang patut diterima oleh pelayan.

Peraturan geografi atau protokol tidak berkaitan yang disekat bukan pengganti untuk mencari entri yang diperhatikan dan keputusan yang diterimanya. VPN juga bukan: menghala trafik keluar melalui terowong tidak merekod apa-apa tentang kebenaran masuk.