Snort na borda da VPN: onde os pacotes são visíveis

Siga um único pedido a partir de um portátil remoto e ele atravessa várias fronteiras antes de algo o poder inspecionar. O túnel exterior termina no processo VPN, o pacote interior aparece numa interface e a sessão HTTPS lá dentro continua até à aplicação. Uma ferramenta de inspeção só vê o que é visível no ponto onde os pacotes lhe chegam. Instale uma sem decidir esse ponto, e os registos descrevem a camada errada.

Um pacote atravessa várias fronteiras

Antes da terminação da VPN, o observador vê uma ligação exterior, normalmente para a porta VPN, com endereços e tamanhos mas sem estrutura interior. Após a terminação, os endereços, portas e protocolos interiores ficam disponíveis no ponto de processamento que os entrega. O TLS da própria aplicação permanece cifrado a menos que um desenho separado o termine. São três níveis de visibilidade, e o nome de um pacote não lhe diz qual comprou.

Desenhe o caminho com as fronteiras marcadas e depois coloque o sensor na linha onde a pergunta pode ser respondida, porque a localização faz parte da resposta. Uma fronteira que não consegue nomear é uma fronteira que não consegue testar.

Veja o que é legível em cada ponto

Verifique a interface e uma captura curta antes de confiar em qualquer descrição da arquitetura.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

A lista de ligações mostra os túneis e as interfaces físicas existentes, e a captura mostra exatamente o que receberia um sensor ligado ali. Se mostrar endereços interiores mas nenhuma linha de pedido HTTP, está depois da terminação da VPN e ainda fora do TLS da aplicação. Esse é o local normal para deteção de rede e o local errado para inspeção de conteúdo. Repita a captura na interface exterior para comparar o que a outra fronteira expõe.

A deteção passiva não pode bloquear sozinha

A documentação de inspeção do Snort separa a observação passiva da operação em linha. O modo passivo pode alertar sobre o tráfego sem o parar nesse caminho.

snort -T -c /etc/snort/snort.lua

O modo de teste valida a configuração sem executar o sensor, o que é o primeiro passo correto antes de qualquer implementação. A operação em linha exige um arranjo compatível de aquisição de pacotes e uma configuração de aplicação correspondente, não apenas uma opção adicional. Uma entrada de registo não é, portanto, prova de que um pedido foi impedido, e um processo iniciado com uma opção que parece em linha não prova que o fluxo realmente encaminhado passa por ele. Confirme onde a implementação entrega realmente os pacotes.

Escolha o modo de aplicação antes de implementar

Decida se o requisito é visibilidade ou prevenção, porque os dois têm comportamento de falha diferente. Um sensor passivo que morre deixa o tráfego fluir e cria uma lacuna de monitorização; um dispositivo em linha que morre pode deixar passar o tráfego ou detê-lo, e essa escolha tem de ser deliberada. Acorde um fluxo permitido, um fluxo que deve ser negado e o comportamento que deseja quando o sensor falha. Mantenha a recuperação de gestão separada do caminho inspecionado, para que um erro no sensor não lhe retire também o acesso.

Depois registe o tráfego visível, o ponto de processamento e o comportamento de aplicação. Esses três factos, não o pacote instalado, descrevem o que a implementação faz realmente.