Twissija Deħla fuq Server VPN: Aqra l-Punt ta' Osservazzjoni

Qabda tal-pakketti, twaqqigħa mill-firewall u reġistrazzjoni ta' login fallut jirreġistraw tliet avvenimenti differenti. Qabbel it-tuple u l-istampa tal-ħin qabel tiddeċiedi jekk xi ħadd daħalx.

Server wara VPN iżomm id-dħul tas-servizzi pubbliċi tiegħu, u n-nies ikomplu jsibuhom. Dak li jasal fil-kju tat-twissijiet mhuwiex sejba waħda iżda tliet oħrajn possibbli, u jfissru affarijiet differenti. L-ewwel xogħol hu li tifred servizz espost minn kredenzjali esposta.

Għaddi mill-punti ta' osservazzjoni bil-qies. Ieqaf meta l-evidenza tbiddel il-kategorija, għax l-istadju li jmiss iwieġeb mistoqsija oħra.

L-Ewwel Stadju: X'Ra Verament il-Qabda

Qabda tal-pakketti tirreġistra dak li kien viżibbli fil-punt tagħha stess tul it-triq. Dak il-punt jista' jinsab qabel deċiżjoni ta' filtrazzjoni aktar tard. Pakkett maqbud jipprova li t-traffiku wasal hemm. Ma jipprova xejn dwar dak li ġara wara.

Innota l-interfaċċa ukoll. Qabda fuq l-adapter pubbliku u qabda ġewwa t-tunnel jiddeskrivu punti ta' wasla differenti, u twissija li tikkwota l-punt ħażin twassal għal konklużjoni ħażina.

Windows jiffiltra wkoll f'diversi saffi tal-istack, għalhekk il-mudell nadif fejn l-għodda tal-qabda tinsab fit-tieni saff u l-firewall fit-tielet saff ma jiflahx meta jiltaqa' ma' prodott reali. Il-ħarsa ġenerali tal-Windows Filtering Platform tiddeskrivi filtrazzjoni madwar saffi tal-istack, u għalhekk l-ordni tal-osservazzjoni trid tiġi stabbilita u mhux preżunta.

It-Tieni Stadju: X'Tistabbilixxi r-Reġistrazzjoni tat-Twaqqigħa

Reġistrazzjoni ta' twaqqigħa tgħid li konfini tal-politika rrifjuta dak il-pakkett. Hija evidenza qawwija. Hija wkoll evidenza dejqa, għax tkopri deċiżjoni waħda f'konfini wieħed. Xejn ieħor fl-istack mhu deskritt minnha.

Qabbel fuq it-tuple u l-istampa tal-ħin. L-istess sors, l-istess destinazzjoni, l-istess port, fl-istess sekonda. Mingħajr dak it-tqabbil, avveniment li jidher simili f'log ieħor huwa sempliċement avveniment ieħor, u t-tqabbil tagħhom jipproduċi storja li ħadd ma jista' jiddefendi.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Port magħluq u pakkett imwettaq jidhru identiċi minn barra u kompletament differenti f'dawn iż-żewġ riżultati. Dik id-differenza hija r-raġuni kollha biex taqra r-reġistrazzjoni lokali.

It-Tielet Stadju: X'Tipprova l-Avveniment tal-Awtentikazzjoni

Avveniment tal-awtentikazzjoni jgħid li komponent ipproċessa t-talba biżżejjed biex jirreġistra riżultat. Huwa l-uniku mit-tliet stadji li jitkellem dwar l-identità, u ma jgħid xejn dwar kemm waslu pakketti qablu.

Aqra l-kuntest reali tal-avveniment. Login fallut għal kont li ma jeżistix huwa storbju mill-iskennjar. Login fallut għal kont reali b'sors plawsibbli huwa prijorità differenti. Sessjoni ta' suċċess hija kategorija ta' inċident kompletament differenti.

Innota l-ismijiet tal-protokoll ukoll. RPC u RDP huma servizzi separati b'ports separati. Ditekter li jħares lejn wieħed minnhom mhux qed ikopri l-ieħor. Għodod li jiġbru l-attività tan-netwerk mhux dejjem jgħidu liema mit-tnejn ipproduċa l-avveniment.

Kampjun Wieħed Ikkorrelat Jegħleb Bord ta' Kontroll

Agħżel test awtorizzat wieħed, ħaddmu apposta, u segwih mill-bidu sat-tmiem: indirizz tad-destinazzjoni u interfaċċa, indirizz tas-sors veru, port tas-servizz, profil u regola tal-firewall effettivi, u r-riżultat tas-servizz li jaqbel. Inkludi kwalunkwe mappa fil-livell ta' fuq jew firewall tas-sħab f'dik il-katina, għax regola permissiva hemmhekk tista' tegħleb regola lokali nadifa.

Imbagħad ifred iż-żewġ obbligi. Jekk l-amministrazzjoni għandha tkun biss permezz tal-VPN, infurzaha kemm fuq il-perkors pubbliku kif ukoll fuq dak tat-tunnel waqt li żżomm rotta ta' rkupru approvata. Il-monitoraġġ ta' tentattiv miċħud mhuwiex l-istess xogħol bħad-deċiżjoni ta' x'għandu jaċċetta s-server.

Regola ġeografika jew protokoll mblukkat mhux relatat mhuwiex sostitut biex issib id-dħul osservat u d-deċiżjoni li rċieva. Lanqas VPN: id-direzzjoni tat-traffiku ħiereġ minn tunnel ma tirreġistra xejn dwar l-awtorizzazzjoni tad-dħul.

Artikli relatati