Snort di tepi VPN: tempat paket kelihatan

Ikuti satu permintaan daripada komputer riba jauh dan ia melintasi beberapa sempadan sebelum apa-apa boleh memeriksanya. Terowong luar berakhir pada proses VPN, paket dalam muncul pada antara muka, dan sesi HTTPS di dalamnya berterusan ke aplikasi. Alat pemeriksaan hanya melihat apa yang kelihatan pada titik tempat paket mencapainya. Pasang satu tanpa memutuskan titik itu, dan log akan menerangkan lapisan yang salah.

Satu paket melintasi beberapa sempadan

Sebelum penamatan VPN pemerhati melihat satu sambungan luar, biasanya ke port VPN, dengan alamat dan saiz tetapi tanpa struktur dalam. Selepas penamatan, alamat, port dan protokol dalam tersedia pada titik pemprosesan yang menyerahkannya. TLS aplikasi itu sendiri kekal disulitkan melainkan reka bentuk berasingan menamatkannya. Itu tiga tahap keterlihatan, dan nama pakej tidak memberitahu anda yang mana anda beli.

Lukis laluan dengan sempadan ditanda, kemudian letakkan penderia pada garis tempat soalan boleh dijawab, kerana lokasi ialah sebahagian daripada jawapan. Sempadan yang tidak dapat anda namakan ialah sempadan yang tidak dapat anda uji.

Lihat apa yang boleh dibaca pada setiap titik

Periksa antara muka dan tangkapan pendek sebelum mempercayai sebarang penerangan seni bina.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Senarai pautan menunjukkan terowong dan antara muka fizikal yang wujud, dan tangkapan menunjukkan dengan tepat apa yang akan diterima oleh penderia yang disambungkan di situ. Jika ia menunjukkan alamat dalam tetapi tiada baris permintaan HTTP, anda berada selepas penamatan VPN dan masih di luar TLS aplikasi. Itu tempat biasa untuk pengesanan rangkaian dan tempat yang salah untuk pemeriksaan kandungan. Ulangi tangkapan pada antara muka luar untuk membandingkan apa yang didedahkan oleh sempadan lain.

Pengesanan pasif tidak boleh menyekat sendiri

Dokumentasi pemeriksaan Snort memisahkan pemerhatian pasif daripada operasi dalam talian. Mod pasif boleh memberi amaran tentang trafik tanpa menghentikannya pada laluan itu.

snort -T -c /etc/snort/snort.lua

Mod ujian mengesahkan konfigurasi tanpa menjalankan penderia, iaitu langkah pertama yang betul sebelum sebarang penggunaan. Operasi dalam talian memerlukan susunan pemerolehan paket yang serasi dan konfigurasi penguatkuasaan yang sepadan, bukan sekadar bendera tambahan. Oleh itu entri log bukan bukti bahawa permintaan telah dihalang, dan proses yang dimulakan dengan pilihan seperti dalam talian tidak membuktikan bahawa aliran sebenar yang diteruskan melaluinya. Sahkan di mana pelaksanaan benar-benar menyerahkan paket.

Pilih mod penguatkuasaan sebelum menggunakan

Tentukan sama ada keperluan itu keterlihatan atau pencegahan, kerana kedua-duanya membawa tingkah laku kegagalan yang berbeza. Penderia pasif yang mati membiarkan trafik mengalir dan mencipta jurang pemantauan; peranti dalam talian yang mati boleh membenarkan trafik lalu atau menghentikannya, dan pilihan itu mesti disengajakan. Bersetuju tentang satu aliran dibenarkan, satu aliran yang mesti ditolak, dan tingkah laku yang anda mahu apabila penderia gagal. Kekalkan pemulihan pengurusan berasingan daripada laluan yang diperiksa, supaya kesilapan pada penderia tidak turut menghapuskan akses anda.

Kemudian rekod trafik yang kelihatan, titik pemprosesan dan tingkah laku penguatkuasaan. Ketiga-tiga fakta itu, bukan pakej yang dipasang, menerangkan apa yang sebenarnya dilakukan oleh penggunaan.