Snort la marginea VPN: unde pachetele sunt vizibile

Urmăriți o singură cerere de pe un laptop aflat la distanță și ea traversează mai multe granițe înainte ca ceva să o poată inspecta. Tunelul exterior se termină în procesul VPN, pachetul interior apare pe o interfață, iar sesiunea HTTPS din interior continuă până la aplicație. Un instrument de inspecție vede doar ce este vizibil în punctul în care pachetele ajung la el. Instalați unul fără să decideți acel punct, iar jurnalele vor descrie stratul greșit.

Un pachet traversează mai multe granițe

Înainte de terminarea VPN, observatorul vede o singură conexiune exterioară, de obicei către portul VPN, cu adrese și dimensiuni, dar fără structură interioară. După terminare, adresele, porturile și protocoalele interioare sunt disponibile în punctul de procesare care le predă. TLS-ul aplicației rămâne criptat dacă un proiect separat nu îl termină. Acestea sunt trei niveluri de vizibilitate, iar numele unui pachet nu vă spune pe care l-ați cumpărat.

Desenați traseul cu granițele marcate, apoi plasați senzorul pe linia unde întrebarea poate primi răspuns, pentru că locația face parte din răspuns. O graniță pe care nu o puteți numi este o graniță pe care nu o puteți testa.

Vedeți ce este lizibil în fiecare punct

Verificați interfața și o captură scurtă înainte de a avea încredere în orice descriere a arhitecturii.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Lista de legături arată tunelurile și interfețele fizice existente, iar captura arată exact ce ar primi un senzor conectat acolo. Dacă arată adrese interioare, dar nicio linie de cerere HTTP, sunteți după terminarea VPN și încă în afara TLS-ului aplicației. Acesta este locul normal pentru detectarea în rețea și locul greșit pentru inspecția conținutului. Repetați captura pe interfața exterioară pentru a compara ce expune cealaltă graniță.

Detectarea pasivă nu poate bloca singură

Documentația de inspecție a Snort separă observarea pasivă de operarea în linie. Modul pasiv poate alerta despre trafic fără să îl oprească pe acea cale.

snort -T -c /etc/snort/snort.lua

Modul de test validează configurația fără a rula senzorul, ceea ce este primul pas corect înainte de orice implementare. Operarea în linie necesită o aranjare compatibilă de achiziție a pachetelor și o configurație de aplicare corespunzătoare, nu doar un indicator suplimentar. O intrare în jurnal nu este, prin urmare, dovada că o cerere a fost împiedicată, iar un proces pornit cu o opțiune care pare în linie nu dovedește că fluxul real redirecționat trece prin el. Confirmați unde predă implementarea pachetele în realitate.

Alegeți modul de aplicare înainte de implementare

Decideți dacă cerința este vizibilitate sau prevenire, pentru că cele două au un comportament diferit la defectare. Un senzor pasiv care moare lasă traficul să curgă și creează o lacună de monitorizare; un dispozitiv în linie care moare poate lăsa traficul să treacă sau îl poate opri, iar această alegere trebuie să fie deliberată. Cădeți de acord asupra unui flux permis, a unui flux care trebuie refuzat și a comportamentului dorit când senzorul eșuează. Țineți recuperarea administrării separată de calea inspectată, ca o greșeală în senzor să nu vă retragă și accesul.

Apoi înregistrați traficul vizibil, punctul de procesare și comportamentul de aplicare. Aceste trei fapte, nu pachetul instalat, descriu ce face implementarea în realitate.