Snort na rubu VPN-a: gdje su paketi vidljivi

Pratite jedan zahtjev s udaljenog prijenosnika i on prelazi nekoliko granica prije nego što ga išta može pregledati. Vanjski tunel završava u VPN procesu, unutarnji paket se pojavljuje na sučelju, a HTTPS sesija unutra nastavlja do aplikacije. Alat za pregled vidi samo ono što je vidljivo u točki u kojoj paketi do njega dolaze. Instalirajte ga bez odluke o toj točki i zapisi će opisivati pogrešan sloj.

Jedan paket prelazi nekoliko granica

Prije završetka VPN-a promatrač vidi jednu vanjsku vezu, obično prema VPN portu, s adresama i veličinama ali bez unutarnje strukture. Nakon završetka unutarnje adrese, portovi i protokoli dostupni su u onoj točki obrade koja ih predaje. Vlastiti TLS aplikacije ostaje šifriran ako ga zaseban dizajn ne završi. To su tri razine vidljivosti, a naziv paketa ne govori koju ste kupili.

Nacrtajte put s označenim granicama, zatim postavite senzor na crtu na kojoj se pitanje može odgovoriti, jer je mjesto dio odgovora. Granica koju ne možete imenovati granica je koju ne možete testirati.

Pogledajte što je čitljivo u svakoj točki

Provjerite sučelje i kratki snimak prije nego što povjerujete bilo kojem opisu arhitekture.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Popis veza pokazuje postojeća tunelska i fizička sučelja, a snimak pokazuje točno što bi primio senzor priključen ondje. Ako pokazuje unutarnje adrese ali ne retke HTTP zahtjeva, nalazite se nakon završetka VPN-a i još uvijek izvan TLS-a aplikacije. To je uobičajeno mjesto za mrežno otkrivanje i pogrešno mjesto za pregled sadržaja. Ponovite snimak na vanjskom sučelju kako biste usporedili što druga granica otkriva.

Pasivno otkrivanje ne može blokirati samo

Snortova dokumentacija za pregled odvaja pasivno promatranje od rada u liniji. Pasivni način može upozoriti na promet bez zaustavljanja na tom putu.

snort -T -c /etc/snort/snort.lua

Testni način provjerava konfiguraciju bez pokretanja senzora, što je ispravan prvi korak prije svakog postavljanja. Rad u liniji zahtijeva usklađen raspored prihvata paketa i odgovarajuću konfiguraciju primjene, a ne samo dodatnu zastavicu. Zapis u dnevniku stoga nije dokaz da je zahtjev spriječen, a proces pokrenut s opcijom nalik na rad u liniji ne dokazuje da stvarni proslijeđeni tok prolazi kroz njega. Potvrdite gdje implementacija zapravo predaje pakete.

Odaberite način primjene prije postavljanja

Odlučite je li zahtjev vidljivost ili sprječavanje, jer ta dva nose različito ponašanje pri kvaru. Pasivni senzor koji prestane raditi ostavlja promet da teče i stvara prazninu u nadzoru; uređaj u liniji koji prestane raditi može propustiti promet ili ga zaustaviti, a taj izbor mora biti namjeran. Dogovorite jedan dopušteni tok, jedan tok koji se mora odbiti i ponašanje koje želite kad senzor zakaže. Držite oporavak upravljanja odvojenim od pregledanog puta, kako pogreška u senzoru ne bi uklonila i vaš pristup.

Zatim zabilježite vidljivi promet, točku obrade i ponašanje primjene. Te tri činjenice, a ne instalirani paket, opisuju što postavljanje zapravo radi.