It-twissijiet tad-dħul fil-VPN mhumiex twissijiet ta' intrużjoni: osserva s-sessjoni
Dħul mhux tas-soltu huwa raġuni għal reviżjoni, mhux verdett. Qabbad ir-rekord tal-awtentikazzjoni ma' sessjoni, imbagħad ma' dak li messet, qabel ma ssejħilu intrużjoni.
Twissija tal-VPN li tqum għal pajjiż ġdid tidher deċiżiva, u normalment mhijiex. L-awtentikazzjoni tgħid li tentattiv ġie aċċettat; is-sessjoni tgħid liema konnessjoni ġarrtu; ir-rekords tar-riżorsi jgħidu x'ġara ġewwa dik il-konnessjoni. Kull wieħed iwieġeb mistoqsija differenti. Regola li tgħaqqad it-tlieta tipproduċi tletin ticket nhar it-Tnejn u taqbeż il-każ veru nhar il-Ġimgħa.
Indirizz barrani hija mistoqsija, mhux tweġiba
L-ivvjaġġar, l-operaturi mobbli li joħorġu f'pajjiż ieħor, proxy web korporattiv u ġabra ta' NAT ta' grad ta' carrier li jerġa' jiġi assenjat kollha jċaqalqu s-sors apparenti mingħajr ma jċaqalqu lill-attakkant. Ir-rekord tad-dħul jirrifletti minn fejn id-daħla daħlet fin-netwerk, mhux min kien qed iżomm l-apparat.
Il-falliment oppost huwa agħar għax huwa sieket. Password misruq użat mill-belt tal-utent stess jipproduċi dħul li jaqbel ma' kull dħul preċedenti fil-verifika tal-ġeografija.
L-ipproċessar tal-ġeografija bħala l-verdett għandu spiża li tista' titkejjel. Il-laptops li jivvjaġġaw jiġġeneraw fluss kostanti ta' reviżjonijiet, ir-reviżuri jitgħallmu jagħlquhom mingħajr ma jaqrawhom, u l-vizzju jibqa' sakemm każ veru jasal fl-istess ringiela.
Tliet tipi ta' rekords iwieġbu tliet mistoqsijiet differenti
Ibda minn dak li l-prodotti implimentati fil-fatt joħorġu, mhux minn dak li l-fuljett tal-prodott jissuġġerixxi li jistgħu joħorġu. Id-deċiżjoni tal-awtentikazzjoni ssemmi l-identità ddikjarata, il-metodu u r-riżultat. Iċ-ċiklu tal-ħajja tas-sessjoni jismi l-konnessjoni, il-gateway u l-indirizz assenjat, mill-bidu sal-waqfien.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Ċella vojta hija lakuna fil-ġbir, mhux ħelsien. Jekk l-avvenimenti tar-riżorsi qatt ma jaslu, in-nuqqas ta' qari suspettuż ifisser li l-pipeline m'għandux x'jirrapporta, u dashboard sieket jiddeskrivi l-pipeline u mhux in-netwerk. Ikteb liema rekords l-implimentazzjoni fil-fatt tipproduċi qabel ma twiegħed regola li tiddependi minnhom, u semmi s-sid ta' kull feed nieqes.
Id-dettalji tal-kontabilità huma l-post fejn is-sessjonijiet isiru verifikabbli. Il-kontabilità RADIUS kif deskritta f'RFC 2866 ġġorr aġġornamenti tal-bidu, tal-waqfien u intermedji marbuta ma' identifikatur tas-sessjoni, għalhekk sessjoni li għandha bidu mingħajr waqfien hija lakuna li tista' ssemmiha minflok misteru.
Qabbad mas-sessjoni, mhux mal-isem tal-utent
Kont wieħed legalment iżomm diversi sessjonijiet f'daqqa: laptop, telefon, magna tal-laboratorju li titħalla mqabbda matul il-lejl. Li tqabbad kull avveniment għal dak l-isem tal-utent idawwab tliet apparati fi storja waħda u mbagħad jaqra l-kombinazzjoni bħala kompromess. L-indirizzi assenjati jiġu riċiklati wkoll, għalhekk konnessjoni li tibqa' taqbel ma' indirizz wara li tispiċċa s-sessjoni tġib l-apparat tax-xahar li għadda fl-inċident tal-lum. Żomm il-kjavi tas-sessjoni ħdejn l-indirizz u illimita l-qbil għat-tieqa ta' żmien li s-sessjoni fil-fatt kopriet.
Fejn it-traduzzjoni tneħħi s-sors oriġinali qabel ma servizz jarah, uża l-identità li tibqa' f'dak il-konfini, bħal suġġett TLS reċiproku jew dikjarazzjoni ta' dħul wieħed. Li tivvinta mappa waħda għal waħda bejn indirizz u persuna hija l-istess żball b'passi żejda.
Twissija mingħajr sid hija dashboard
Kull regola teħtieġ kundizzjoni, l-ispjegazzjonijiet beninni li jipproduċuha, l-evidenza li għandha tinġabar u l-persuna li taġixxi. Operazzjoni amministrattiva miċħuda ripetutament, żieda f'daqqa ta' passwords falluti u kollettur sieket huma tliet inċidenti differenti b'tliet arloġġi differenti.
In-notifika mhijiex trażżin, u lista tad-distribuzzjoni ma tirrestrinġi xejn. Li tbiddel sessjoni ħajja teħtieġ il-komponent li jista' jagħmel dan, kemm jekk hija l-gateway li twaqqa' l-konnessjoni jew il-fornitur tal-identità li jirrevoka s-sessjoni. Feeds skaduti u rekords tal-waqfien neqsin ukoll jappartjenu għat-test tar-regola, għax kollettur li ma bagħat xejn għal jum jidher mid-dashboard eżattament bħal netwerk sieket. Id-differenza tidher biss fil-pipeline stess.
Iċċekkja t-triq tal-ġbir qabel ma tafda ġimgħa siekta
Ipprova l-pipeline mill-bidu sal-aħħar qabel ma tirregola regola waħda. Il-kmandi hawn taħt jikkonfermaw li l-listeners tal-awtentikazzjoni u tal-kontabilità huma attivi, li kredenzjali tat-test jiġu miċħuda għar-raġuni t-tajba u li l-avvenimenti tas-sessjoni għadhom jaslu:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject mit-test jipprova li t-talba waslet għand is-server u li s-segretezza kondiviża qablet, u dik hija l-parti li n-nies jaqbżu. Timeout minflok jindika lejn is-segretezza, il-listener jew filtru quddiemu, u kull twissija 'l isfel mhijiex verifikabbli sakemm dan jiġi kkoreġut.
L-istat tal-arloġġ huwa importanti għax it-twieqi tal-korrelazzjoni jassumu qbil. Gateway li jiddevja b'xi minuti jagħmel konnessjoni tas-sessjoni li altrimenti hija nadifa tidher impossibbli, u r-reviżuri jikkumpensaw billi jwessgħu t-tieqa sakemm il-konnessjoni tieqaf tiddistingwi. Iċċekkja d-devjazzjoni qabel ma tedita r-regola.
Imbagħad ħaddem regola waħda fi prova bla ħsara: iġġenera dħul minn indirizz mhux mistenni, ikkonferma li t-twissija tqum, ikkonferma li min iwieġeb jista' jiġbed is-sessjoni u l-avvenimenti tar-riżorsi tagħha, u kkonferma li t-ticket iġorr l-identifikatur tas-sessjoni. Regola li tipproduċi storja koerenti tgħaddi. Regola li tipproduċi munzell ta' linji tal-log għadha dashboard. Irreġistra r-riżultat ħdejn ir-regola sabiex ir-reviżjoni li jmiss tibda mill-evidenza u mhux mill-intuwizzjoni.