Alertă de intrare pe un server VPN: citește punctul de observație

Un server aflat în spatele unui VPN își păstrează intrările publice de serviciu, iar oamenii continuă să le găsească. Ce ajunge în coada de alerte nu este o singură descoperire, ci trei posibile, și ele înseamnă lucruri diferite. Prima sarcină este să separi un serviciu expus de o credențială expusă.

Parcurge punctele de observație în ordine. Oprește-te când dovada își schimbă categoria, pentru că etapa următoare răspunde la o altă întrebare.

Etapa întâi: ce a văzut de fapt captura

O captură de pachete înregistrează ce era vizibil în propriul punct de pe traseu. Acel punct poate fi înaintea unei decizii de filtrare ulterioare. Un pachet capturat dovedește că traficul a ajuns acolo. Nu dovedește nimic despre ce s-a întâmplat după.

Observă și interfața. O captură pe adaptorul public și una în interiorul tunelului descriu puncte de sosire diferite, iar o alertă care citează punctul greșit duce la concluzia greșită.

Windows filtrează și la mai multe niveluri ale stivei, așa că modelul ordonat în care instrumentul de captură stă la nivelul doi și firewall-ul la nivelul trei nu supraviețuiește contactului cu un produs real. Prezentarea generală a Windows Filtering Platform descrie filtrarea între nivelurile stivei, de aceea ordinea observației trebuie stabilită, nu presupusă.

Etapa a doua: ce stabilește înregistrarea respingerii

O înregistrare de respingere spune că o limită de politică a respins acel pachet. Este o dovadă puternică. Este și o dovadă îngustă, pentru că acoperă o singură decizie la o singură limită. Nimic altceva din stivă nu este descris de ea.

Corelează după tuplu și marcajul de timp. Aceeași sursă, aceeași destinație, același port, în aceeași secundă. Fără această potrivire, un eveniment asemănător dintr-un alt jurnal este pur și simplu un alt eveniment, iar asocierea lor produce o poveste pe care nimeni nu o poate apăra.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Un port închis și un pachet respins arată identic din exterior și complet diferit în aceste două rezultate. Această diferență este întregul motiv de a citi înregistrarea locală.

Etapa a treia: ce dovedește evenimentul de autentificare

Un eveniment de autentificare spune că o componentă a procesat cererea suficient de departe încât să înregistreze un rezultat. Este singurul dintre cele trei etape care vorbește despre identitate și nu spune nimic despre câte pachete au sosit înainte.

Citește contextul real al evenimentului. O autentificare eșuată pentru un cont care nu există este zgomot din scanare. O autentificare eșuată pentru un cont real, cu o sursă plauzibilă, este o altă prioritate. O sesiune reușită este o categorie de incident complet diferită.

Urmărește și numele protocoalelor. RPC și RDP sunt servicii separate, cu porturi separate. Un detector care urmărește unul dintre ele nu îl acoperă pe celălalt. Instrumentele care rezumă activitatea de rețea nu precizează întotdeauna care dintre cele două a produs evenimentul.

O singură mostră corelată bate un tablou de bord

Alege un test autorizat, rulează-l intenționat și urmărește-l de la un capăt la altul: adresa de destinație și interfața, adresa de sursă reală, portul serviciului, profilul și regula de firewall efective și rezultatul serviciului corespunzător. Include în acel lanț orice mapare din amonte sau firewall din cloud, pentru că o regulă permisivă de acolo poate anula o regulă locală ordonată.

Apoi separă cele două obligații. Dacă administrarea trebuie făcută doar prin VPN, impune-o atât pe calea publică, cât și pe cea a tunelului, păstrând o rută de recuperare aprobată. Monitorizarea unei încercări respinse nu este aceeași sarcină cu a decide ce ar trebui să accepte serverul.

O regulă geografică sau un protocol blocat fără legătură nu înlocuiește găsirea intrării observate și a deciziei pe care a primit-o. Nici un VPN nu o face: rutarea traficului de ieșire printr-un tunel nu documentează nimic despre autorizarea de intrare.