RDP menukar klien: mengapa pangkalan data melihat hos lain

Peraturan VPN anda menafikan pangkalan data dan tiket ditutup sebagai kerosakan firewall, manakala pengguna yang sama membuka desktop yang diterbitkan dan membuat pertanyaan pada pangkalan data itu tanpa masalah. Kedua-dua kenyataan itu benar. Desktop ialah klien lain, dengan alamatnya sendiri pada segmen yang sudah dipercayai oleh peraturan, dan identitinya sendiri apabila bersambung seterusnya. Apa yang kelihatan seperti peraturan bercanggah biasanya ialah permintaan kedua yang tidak dimasukkan oleh sesiapa ke dalam kajian semula.

Permintaan kedua mempunyai alamat kliennya sendiri

Apabila aplikasi di dalam sesi membuka sambungan ke pangkalan data, jabat tangan TCP bermula pada hos sesi. Alamat sumbernya milik rangkaian hos itu, jadi setiap penghala dan firewall pangkalan data di sepanjang laluan menilai segmen desktop dan bukan kumpulan terowong dari mana komputer riba anda datang. Alamat VPN tidak pernah muncul dalam aliran itu. Itulah sebabnya peraturan penafian berasaskan sumber boleh benar dan tidak berkaitan pada masa yang sama.

Baca asalnya dari dalam sesi dan bukan dari komputer riba, kemudian uji laluan seterusnya dari tempat yang sama. Kedua-dua jawapan sepatutnya bersetuju tentang hos mana yang membuat permintaan.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Bandingkan apa yang dilaporkan oleh sesi dengan alamat yang direkodkan oleh pangkalan data untuk masa yang sama. Apabila log pelayan menunjukkan subnet desktop dan bukan kumpulan terowong, soalan berhenti menjadi sama ada peraturan itu tercetus dan menjadi hos mana yang membuat permintaan. Itu penyiasatan lain dengan pemilik lain.

Identiti juga berubah, bukan hanya pengalamatan

Sambungan seterusnya biasanya disahkan sebagai token sesi, kelayakan tersimpan atau akaun perkhidmatan aplikasi, dan sumber itu merekodkan apa yang diberikan kepadanya. Oleh itu jejak audit yang menunjukkan akaun perkhidmatan pada pangkalan data tidak membuktikan bahawa manusia menjalankan pertanyaan itu. Ia juga tidak mengenal pasti manusia tersebut. Hanya log sesi desktop itu sendiri yang menghubungkan kedua-dua rekod itu.

Kebenaran berlaku dua kali, dan keputusan kedua dibuat dengan input yang berbeza. Yang pertama memberi log masuk desktop kepada pengguna bernama, manakala yang kedua memberi apa yang boleh dilakukan oleh token pengguna itu atau akaun aplikasi terhadap sumber itu. Kumpulan meja bantuan yang boleh membuka desktop tidak secara automatik menjadi kumpulan yang boleh membaca jadual pelanggan.

Lihat token dan laluan pengwakilan sebelum menulis nota akses. Kedua-duanya kelihatan dari dalam sesi, dan hanya di situlah jawapannya bukan tekaan.

whoami /groups
klist
query session

Jika aplikasi menggunakan akaun perkhidmatan, haknya itulah yang penting di hilir. Memutar semula kelayakan itu termasuk dalam kajian akses, bukan dalam renungan operasi selepasnya.

Mengapa laluan langsung masih disekat, dan memang wajar

Peraturan penafian tidak salah hanya kerana destinasi boleh dicapai dengan cara lain. Segmentasi dinilai mengikut sumber, dan desktop berada pada segmen yang dibenarkan jauh sebelum sesiapa menganggapnya sebagai laluan ke pangkalan data. Tiada apa yang memintas dasar itu. Dasar itu hanya menerangkan dua sumber berbeza dengan dua hasil berbeza.

Apa yang perlu dijawab oleh kajian semula ialah apa yang boleh dimulakan oleh setiap sesi sah pada hos itu. Pelayar dengan sesi tersimpan, pemacu yang dipetakan, ejen yang memegang kelayakan dan perkhidmatan yang mendengar secara setempat semuanya meluaskan jangkauan desktop, dan tiada satu pun muncul dalam tiket yang memberikan log masuk. Inventori itulah permukaan kebenaran yang sebenar.

Senaraikannya dari dalam sesi ujian, bukan dari hamparan. Beberapa arahan meliputi sebahagian besar permukaan itu.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Pilih sempadan itu dengan sengaja

Tiga bentuk sesuai untuk tugas berbeza, dan pilihan itu harus mengikut tugas dan bukan alat yang kebetulan wujud. Aplikasi yang diterbitkan mendedahkan satu program dengan kebenarannya sendiri, desktop penuh mendedahkan semua yang boleh dilakukan oleh profil pengguna, dan akaun pangkalan data sempit dengan sekatan sumber mendedahkan satu sumber tanpa desktop sama sekali. Bentuk paling sempit yang masih menyelesaikan kerja itulah yang perlu didokumenkan. Apa-apa yang lebih luas memerlukan sebab yang ditulis di sebelahnya.

Untuk satu laporan, aplikasi yang diterbitkan atau akaun terhad ialah pemberian yang lebih kecil daripada desktop umum. Untuk penyelenggaraan yang benar-benar memerlukan beberapa alat, desktop mungkin tepat, tetapi kemudian kelulusan itu menerangkan seluruh hos dan bukan satu aplikasi. Tanya pemilik sumber itu yang mana satu mereka setuju.

Pergerakan data ialah suis berasingan. Papan keratan, pengalihan pemacu dan muat turun boleh membawa data syarikat ke klien, dan menjalankan aplikasi dari jauh tidak menyimpan data dari jauh dengan sendirinya.

Semak kedua-dua kelulusan dan laluan pembuangan

Dua kelulusan tergolong dalam rekod: hak untuk mencapai dan membuka desktop, dan hak untuk menggunakan sumber dari dalamnya. Namakan pemilik bagi setiap satu dan kekalkan yang kedua kelihatan kepada sesiapa yang menyemak sumber itu. Entri kedualah yang akan ditanya oleh juruaudit, kerana ia menerangkan jangkauan dan bukan kemasukan. Tulis kedua-duanya sebelum perubahan diluluskan, bukan selepas insiden pertama.

Kemudian uji pembuangannya, kerana sesi yang terputus boleh hidup lebih lama daripada sebabnya. Jadual sesi ialah tempat terpantas untuk melihat apa yang masih berjalan.

query session
query user
qwinsta /server:rdsh01.corp.internal

Memutuskan klien membiarkan sesi jauh terus berjalan, dan sambungan rangkaian serta kelayakan cachenya boleh kekal boleh digunakan sehingga sesi itu tamat. Log keluar, atau tamatkan sesi secara jelas, dan sahkan bahawa pembilang di hilir berhenti bergerak selepas itu. Ujian pembuangan yang hanya menutup penutup komputer riba tidak membuktikan apa-apa. Jalankan ujian yang sama sekali dengan akaun dilumpuhkan dan sekali dengan kebenaran desktop ditarik balik, kemudian catat apa yang direkodkan oleh sumber itu dalam setiap kes.