Amaran log masuk VPN bukan amaran pencerobohan: pantau sesi
Log masuk luar biasa ialah pencetus semakan, bukan keputusan. Kaitkan rekod pengesahan dengan sesi, kemudian dengan apa yang disentuhnya, sebelum memanggilnya pencerobohan.
Amaran VPN yang berbunyi untuk negara baharu kelihatan muktamad, dan biasanya tidak. Pengesahan menyatakan satu percubaan diterima; sesi menyatakan sambungan mana yang membawanya; rekod sumber menyatakan apa yang berlaku di dalam sambungan itu. Setiap satu menjawab soalan berbeza. Peraturan yang menggabungkan ketiga-tiganya menghasilkan tiga puluh tiket pada Isnin dan terlepas kes sebenar pada Jumaat.
Alamat asing ialah soalan, bukan jawapan
Perjalanan, pengendali mudah alih yang keluar di negara lain, proksi web korporat dan kumpulan NAT gred pembawa yang diperuntukkan semula semuanya menggerakkan sumber ketara tanpa menggerakkan penyerang. Rekod log masuk mencerminkan dari mana sambungan masuk ke rangkaian, bukan siapa yang memegang peranti.
Kegagalan sebaliknya lebih teruk kerana ia senyap. Kata laluan curi yang digunakan dari bandar pengguna sendiri menghasilkan log masuk yang sepadan dengan setiap log masuk terdahulu dalam semakan geografi.
Memperlakukan geografi sebagai keputusan mempunyai kos yang boleh diukur. Komputer riba yang mengembara menghasilkan aliran semakan yang berterusan, penyemak belajar menutupnya tanpa membaca, dan tabiat itu kekal sehingga kes sebenar tiba dalam baris yang sama.
Tiga jenis rekod menjawab tiga soalan berbeza
Mulakan dengan apa yang benar-benar dipancarkan oleh produk yang digunakan, bukan dengan apa yang disyaratkan oleh risalah produk. Keputusan pengesahan menamakan identiti yang didakwa, kaedah dan hasilnya. Kitaran hayat sesi menamakan sambungan, gerbang dan alamat yang diberikan, dari mula hingga berhenti.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Sel kosong ialah jurang pengumpulan, bukan pelepasan. Jika peristiwa sumber tidak pernah tiba, ketiadaan bacaan mencurigakan bermakna saluran paip tidak mempunyai apa-apa untuk dilaporkan, dan papan pemuka yang senyap menerangkan saluran paip, bukan rangkaian. Catat rekod mana yang benar-benar dihasilkan oleh penggunaan sebelum menjanjikan peraturan yang bergantung padanya, dan namakan pemilik setiap suapan yang hilang.
Butiran perakaunan ialah tempat sesi menjadi boleh diperiksa. Perakaunan RADIUS seperti yang diterangkan dalam RFC 2866 membawa kemas kini mula, berhenti dan pertengahan yang dikunci pada pengecam sesi, jadi sesi yang mempunyai permulaan tanpa henti ialah jurang yang boleh anda namakan dan bukan misteri.
Gabungkan pada sesi, bukan pada nama pengguna
Satu akaun secara sah memegang beberapa sesi serentak: komputer riba, telefon, mesin makmal yang dibiarkan bersambung sepanjang malam. Menggabungkan setiap peristiwa untuk nama pengguna itu melakurkan tiga peranti menjadi satu cerita dan kemudian membaca gabungan itu sebagai kompromi. Alamat yang diberikan juga dikitar semula, jadi gabungan yang terus sepadan dengan alamat selepas sesi tamat menyeret peranti bulan lalu ke dalam insiden hari ini. Simpan kunci sesi di sebelah alamat dan hadkan padanan kepada tetingkap masa yang sebenarnya diliputi sesi.
Di mana terjemahan membuang sumber asal sebelum perkhidmatan melihatnya, gunakan identiti yang kekal di sempadan itu, seperti subjek TLS bersama atau penegasan log masuk tunggal. Mereka-reka pemetaan satu-ke-satu antara alamat dan orang ialah kesilapan yang sama dengan langkah tambahan.
Amaran tanpa pemilik ialah papan pemuka
Setiap peraturan memerlukan syarat, penjelasan tidak berbahaya yang menghasilkannya, bukti yang perlu dikumpulkan dan orang yang bertindak. Operasi pentadbiran yang ditolak berulang, lonjakan kata laluan gagal dan pengumpul senyap ialah tiga insiden berbeza dengan tiga jam berbeza.
Pemberitahuan bukan pembendungan, dan senarai pengedaran tidak menyekat apa-apa. Menukar sesi hidup memerlukan komponen yang boleh melakukannya, sama ada gerbang yang menggugurkan sambungan atau penyedia identiti yang membatalkan sesi. Suapan lapuk dan rekod berhenti yang hilang juga tergolong dalam teks peraturan, kerana pengumpul yang tidak menghantar apa-apa selama sehari kelihatan sama seperti rangkaian senyap dari papan pemuka. Perbezaannya hanya kelihatan dalam saluran paip itu sendiri.
Semak laluan pengumpulan sebelum mempercayai minggu yang senyap
Buktikan saluran paip dari hujung ke hujung sebelum menala satu peraturan. Arahan di bawah mengesahkan bahawa pendengar pengesahan dan perakaunan aktif, bahawa kelayakan ujian ditolak atas sebab yang betul dan bahawa peristiwa sesi masih tiba:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject daripada ujian membuktikan permintaan sampai ke pelayan dan rahsia kongsi sepadan, dan itulah bahagian yang orang langkau. Tamat masa sebaliknya menunjuk kepada rahsia, pendengar atau penapis di hadapannya, dan setiap amaran di bawah tidak dapat disahkan sehingga itu diperbaiki.
Keadaan jam penting kerana tetingkap korelasi menganggap persetujuan. Gerbang yang terpesong beberapa minit membuatkan gabungan sesi yang bersih kelihatan mustahil, dan penyemak mengimbangi dengan meluaskan tetingkap sehingga gabungan berhenti membezakan. Semak sisihan sebelum menyunting peraturan.
Kemudian jalankan satu peraturan dalam ujian tidak berbahaya: jana log masuk dari alamat tidak dijangka, sahkan amaran berbunyi, sahkan responden boleh menarik sesi dan peristiwa sumbernya, dan sahkan tiket membawa pengecam sesi. Peraturan yang menghasilkan cerita koheren lulus. Peraturan yang menghasilkan timbunan baris log masih papan pemuka. Catat hasilnya di sebelah peraturan supaya semakan seterusnya bermula dengan bukti, bukan gerak hati.