Alertele de autentificare VPN nu sunt alerte de intruziune: urmărește sesiunea
O autentificare neobișnuită este un motiv de revizuire, nu o sentință. Leagă înregistrarea de autentificare de o sesiune și apoi de ce a atins aceasta, înainte de a o numi intruziune.
O alertă VPN care se declanșează pentru o țară nouă pare decisivă și, de obicei, nu este. Autentificarea spune că o încercare a fost acceptată; sesiunea spune care conexiune a purtat-o; înregistrările de resurse spun ce s-a întâmplat în acea conexiune. Fiecare răspunde la o întrebare diferită. O regulă care le contopește pe toate trei produce treizeci de tichete luni și ratează cazul real vineri.
O adresă străină este o întrebare, nu un răspuns
Călătoriile, operatorii mobili care ies într-o altă țară, un proxy web corporativ și un pool NAT de operator realocat mută toate sursa aparentă fără a muta atacatorul. Înregistrarea autentificării reflectă pe unde a intrat conexiunea în rețea, nu cine ținea dispozitivul.
Eșecul invers este mai rău pentru că este tăcut. O parolă furată folosită din orașul utilizatorului însuși produce o autentificare care se potrivește cu fiecare autentificare anterioară la verificarea geografică.
Tratarea geografiei ca sentință are un cost măsurabil. Laptopurile călătoare generează un flux constant de revizuiri, revizorii învață să le închidă fără să le citească, iar obiceiul rezistă până când un caz real ajunge în aceeași coadă.
Trei tipuri de înregistrări răspund la trei întrebări diferite
Începe cu ce emit efectiv produsele implementate, nu cu ce sugerează o broșură de produs. Decizia de autentificare numește identitatea revendicată, metoda și rezultatul. Ciclul de viață al sesiunii numește conexiunea, gateway-ul și adresa alocată, de la început până la oprire.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
O celulă goală este o lacună de colectare, nu o achitare. Dacă evenimentele de resurse nu ajung niciodată, absența unei citiri suspecte înseamnă că pipeline-ul nu are nimic de raportat, iar un panou silențios descrie pipeline-ul, nu rețeaua. Notează ce înregistrări produce efectiv implementarea înainte de a promite o regulă care depinde de ele și numește proprietarul fiecărui flux lipsă.
Detaliile contabile sunt locul unde sesiunile devin verificabile. Contabilitatea RADIUS descrisă în RFC 2866 transportă actualizări de început, oprire și intermediare legate de un identificator de sesiune, așa că o sesiune cu început și fără oprire este o lacună pe care o poți numi în loc de un mister.
Unește după sesiune, nu după numele de utilizator
Un cont deține legitim mai multe sesiuni simultan: un laptop, un telefon, o mașină de laborator lăsată conectată peste noapte. Unirea fiecărui eveniment pentru acel nume de utilizator topește trei dispozitive într-o singură poveste și apoi citește combinația ca compromitere. Adresele alocate sunt și ele reciclate, așa că o îmbinare care continuă să corespundă unei adrese după terminarea sesiunii târăște dispozitivul de luna trecută în incidentul de astăzi. Păstrează cheia sesiunii lângă adresă și limitează potrivirea la fereastra de timp pe care sesiunea a acoperit-o efectiv.
Acolo unde traducerea elimină sursa originală înainte ca un serviciu să o vadă, folosește identitatea care supraviețuiește la acea graniță, cum ar fi un subiect TLS mutual sau o aserțiune de autentificare unică. Inventarea unei corespondențe unu-la-unu între o adresă și o persoană este aceeași greșeală cu pași în plus.
O alertă fără proprietar este un panou
Fiecare regulă are nevoie de o condiție, de explicațiile benigne care o produc, de dovezile de strâns și de persoana care acționează. O operațiune administrativă refuzată repetat, o rafală de parole eșuate și un colector tăcut sunt trei incidente diferite cu trei ceasuri diferite.
Notificarea nu este izolare, iar o listă de distribuție nu restricționează nimic. Modificarea unei sesiuni active necesită componenta care poate face asta, fie gateway-ul care închide conexiunea, fie furnizorul de identitate care revocă sesiunea. Fluxurile învechite și înregistrările de oprire lipsă aparțin și ele textului regulii, pentru că un colector care nu a trimis nimic o zi arată exact ca o rețea silențioasă din panou. Diferența se vede doar în pipeline-ul însuși.
Verifică traseul de colectare înainte de a te baza pe o săptămână liniștită
Demonstrează pipeline-ul de la un capăt la altul înainte de a regla o singură regulă. Comenzile de mai jos confirmă că ascultătorii de autentificare și contabilitate sunt activi, că o acreditare de test este respinsă din motivul corect și că evenimentele de sesiune încă sosesc:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Un Access-Reject din test demonstrează că cererea a ajuns la server și că secretul partajat s-a potrivit, iar aceasta este partea pe care oamenii o sar. Un timeout indică în schimb secretul, ascultătorul sau un filtru din fața lui, iar fiecare alertă din aval este neverificabilă până când asta nu este reparat.
Starea ceasului contează pentru că ferestrele de corelare presupun acord. Un gateway decalat cu câteva minute face o îmbinare de sesiune altfel curată să pară imposibilă, iar revizorii compensează lărgind fereastra până când îmbinarea nu mai distinge. Verifică decalajul înainte de a edita regula.
Apoi trece o regulă printr-un test inofensiv: generează o autentificare de la o adresă neașteptată, confirmă că alerta se declanșează, confirmă că cel care răspunde poate extrage sesiunea și evenimentele ei de resurse și confirmă că tichetul poartă identificatorul de sesiune. O regulă care produce o poveste coerentă trece. O regulă care produce o grămadă de linii de jurnal este încă un panou. Înregistrează rezultatul lângă regulă, ca următoarea revizuire să înceapă cu dovezi, nu cu intuiție.