Snort fit-tarf tal-VPN: fejn il-pakketti jidhru

Segwi talba waħda minn laptop mill-bogħod u tgħaddi minn diversi fruntieri qabel ma xi ħaġa tkun tista’ tispezzjonaha. It-tunnel ta’ barra jispiċċa fil-proċess tal-VPN, il-pakkett ta’ ġewwa jidher fuq interface, u s-sessjoni HTTPS ġewwa tkompli sal-applikazzjoni. Għodda ta’ spezzjoni tara biss dak li jidher fil-punt fejn il-pakketti jaslu għandha. Installa waħda mingħajr ma tiddeċiedi dak il-punt, u r-reġistri jiddeskrivu s-saff żbaljat.

Pakkett wieħed jaqsam diversi fruntieri

Qabel it-terminazzjoni tal-VPN l-osservatur jara konnessjoni waħda ta’ barra, tipikament lejn il-port tal-VPN, b’indirizzi u daqsijiet iżda mingħajr struttura ta’ ġewwa. Wara t-terminazzjoni l-indirizzi, il-portijiet u l-protokolli ta’ ġewwa huma disponibbli f’dak il-punt tal-ipproċessar li jgħaddihom. It-TLS tal-applikazzjoni stess jibqa’ kriptat sakemm disinn separat ma jtemmhux. Dawk huma tliet livelli ta’ viżibilità, u isem ta’ pakkett ma jgħidlekx liema xtrajt.

Pinġi t-triq bil-fruntieri mmarkati, imbagħad qiegħed is-sensor fuq il-linja fejn tista’ tingħata tweġiba għall-mistoqsija, għax il-post huwa parti mit-tweġiba. Fruntiera li ma tistax issemmiha hija fruntiera li ma tistax tittestjaha.

Ara x’inhu qari f’kull punt

Ivverifika l-interface u qabda qasira qabel ma tafda kwalunkwe deskrizzjoni tal-arkitettura.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Il-lista tal-links turi it-tunnels u l-interfaces fiżiċi li jeżistu, u l-qabda turi eżattament x’jirċievi sensor imqabbad hemmhekk. Jekk turi indirizzi ta’ ġewwa iżda l-ebda linja ta’ talba HTTP, int wara t-terminazzjoni tal-VPN u għadek barra mit-TLS tal-applikazzjoni. Dak huwa l-post normali għas-sejbien tan-netwerk u l-post żbaljat għall-ispezzjoni tal-kontenut. Errepeti l-qabda fuq l-interface ta’ barra biex tqabbel x’jikxef il-fruntiera l-oħra.

Is-sejbien passiv ma jistax jimblokka waħdu

Id-dokumentazzjoni tal-ispezzjoni ta’ Snort tifred l-osservazzjoni passiva mill-operat fil-linja. Il-mod passiv jista’ javża dwar it-traffiku mingħajr ma jwaqqfu fuq dik it-triq.

snort -T -c /etc/snort/snort.lua

Il-mod tat-test jivvalida l-konfigurazzjoni mingħajr ma jħaddem is-sensor, li huwa l-ewwel pass korrett qabel kwalunkwe skjerament. L-operat fil-linja jeħtieġ arranġament kompatibbli tal-akkwist tal-pakketti u konfigurazzjoni tal-infurzar li taqbel, mhux biss bandiera addizzjonali. Għalhekk entrata fir-reġistru mhijiex prova li talba ġiet imwaqqfa, u proċess li nbda b’għażla li tidher fil-linja ma jipprovax li l-fluss reali mgħoddi jgħaddi minnu. Ikkonferma fejn l-implimentazzjoni fil-fatt tgħaddi l-pakketti.

Agħżel il-mod tal-infurzar qabel l-iskjerament

Iddeċiedi jekk ir-rekwiżit huwiex viżibilità jew prevenzjoni, għax it-tnejn iġorru mġiba differenti ta’ falliment. Sensor passiv li jmut iħalli t-traffiku jgħaddi u joħloq vojt fil-monitoraġġ; apparat fil-linja li jmut jista’ jħalli t-traffiku jgħaddi jew iwaqqfu, u dik l-għażla trid tkun deliberata. Aqblu fuq fluss wieħed permess, fluss wieħed li jrid jiġi miċħud, u l-imġiba li trid meta s-sensor ifalli. Żomm l-irkupru tal-ġestjoni separat mit-triq spezzjonata, sabiex żball fis-sensor ma jneħħix ukoll l-aċċess tiegħek.

Imbagħad irreġistra t-traffiku viżibbli, il-punt tal-ipproċessar u l-imġiba tal-infurzar. Dawn it-tliet fatti, mhux il-pakkett installat, jiddeskrivu x’jagħmel fil-fatt l-iskjerament.