Nessus over VPN: kvar skannaren skal plasserast før den første skanninga

Eit VPN-ikon ved sida av nettlesaren seier ingenting om prosessen som sender skannepakkane. Viss konsollen og skannaren køyrer på ulike vertar, er tunnelen til nettlesaren éin veg og kjelda til skanninga ei anna. Start ved utføringspunktet og arbeid deg utover: ruta, autorisasjonen og påloggingsinformasjonen. Den skilnaden står først i sjekklista av ein grunn.

Dette er ei sjekkliste før start, ikkje ei skannerettleiing. Kvart steg gir eit faktum du kan føre inn i saksprotokollen før ein einaste pakke forlèt skannaren.

Kontroll éin: finn prosessen som sender probane

Teikn dei tre rollene tydeleg: nettlesaren på berbar A, skannekonsollen på vert B og det private målet C. Viss B også køyrer skannemotoren, treng nettlesaren berre ein veg til B. Viss ei eiga skanneeining gjer jobben, treng den eininga vegen til C.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Ein nettlesar kopla til VPN kan nå konsollen medan skannaren bak han framleis manglar rute til C. Det motsette er også mogleg: skannaren er inne i det private nettet og konsollen er ekstern. Finn ut kva oppsett du faktisk køyrer før du endrar noka nettverkskontroll. Namngi eininga i skannekonfigurasjonen før du gir nettverket skulda.

Viss skannaren køyrer på A, deler nettlesarverten og skannaren ein kontekst, men berre så lenge prosessen held på same namnerom og same rutetabell. Ein container eller ein tenestekonto arvar kanskje ikkje det den interaktive nettlesaren ser. Konsollen er ei administrasjonsflate, ikkje skannemotoren.

Kontroll to: prov skanneren si rute og DNS

Køyr rutekontrollen på skannerverten, ikkje på den berbare. Spør kjernen kva grensesnitt og kva gateway han ville bruke for mål adressa, og gjer det same for vertsnamnet til målet. Ei rute som finst for IP-adressa og eit namn som løyser til ei anna adresse er to ulike feil.

Stadfest kildeadressa som vil visast ved målet. Ein VPN-klient kan gi ei anna adresse enn den målets brannmur ventar, og ei NAT-eining kan skrive henne om igjen. Eigaren av målet treng den observerte kjelda, ikkje adressa som står i VPN-profilen.

Kontroller også returvegen. Ein skannar som når målet men ikkje får svar, har eit rute- eller brannmurproblem på vegen tilbake, og det ser identisk ut med eit mål som er nede.

Kontroll tre: få omfang og synsvinkel autorisert

La eigaren av målet skriftleg angi system, tenester, miljø, kjelde og tidsvindauge. Avgjer kva synsvinkel vurderinga representerer: ein ekstern VPN-brukar, ein innsleppt intern klient eller eit bestemt skannesegment.

Ei privat rute er ikkje løyve til å teste tilstøytande nettverk. Hald mållista smal, list opp ekskluderte system og bli samde om stoppvilkår og ein kontakt som kan stanse køyringa. Skannaren undersøker gjerne alt han kan nå, og nettopp difor må omfanget vere eksplisitt.

Noter den godkjende kjelda i same dokumentet. Viss den observerte kjelda til skannaren avvik frå den godkjende, representerer køyringa ikkje den avtalte synsvinkelen, sjølv når mållista er riktig.

Kontroll fire: tilpass påloggingsinformasjonen til djupna i vurderinga

Ein tilgjengekontroll og ei autentisert vurdering er ulike testar. Eit portsvar beviser at noko svara; det beviser ikkje at kontrollar med påloggingsinformasjon vart køyrde, eller at applikasjonen autoriserte kontoen.

Bruk berre dedikert påloggingsinformasjon når det avtalte omfanget krev autentiserte kontrollar. Stadfest løyva og låsepolicyn til kontoen, og avgjer korleis funn skal lagrast og delast før skanninga produserer dei.

Viss påloggingsinformasjonen feilar, må du ikkje stille falle tilbake på ei uautentisert køyring og kalle rapporten den planlagde vurderinga. Resultatet er ein annan test med ei anna meining, og den skilnaden høyrer heime i rapporten.

Kontroll fem: lagre planen, og start så medvite

I skanneflyten til Nessus er val av mal, konfigurering av innstillingar og lagring eller start av skanninga separate steg. Bruk den oppdelinga til å gå gjennom mållista, kjelda og tidsplanen før noko trafikk startar.

Før du autoriserer starten, kontroller kva kjelde VPN tillèt, kva trafikk han ber og korleis han kjem seg etter ein broten tunnel. Ikkje utvid brannmurtilgangen berre fordi ei førebels tilkopling feila; finn laget som avviste henne og rett det laget.

Etter køyringa, noter skannerverten, den observerte kjelda hans, mållista og alle kontrollar som ikkje kunne fullførast. Ein rapport laga frå ei anna kjelde eller utan den tiltenkte påloggingsinformasjonen representerer ikkje den opphavlege planen, og å seie det er ein del av leveransen.

Trekk tilbake tilgangen til oppdraget og handsam lagra resultat etter den avtalte prosessen. Sjekklista er først ferdig når prova svarar til vegen du godkjende, ikkje når skanninga berre returnerte resultat.