Prichádzajúci alert na serveri VPN: prečítajte si pozorovací bod

Server za VPN si drží svoje verejné záznamy služieb a ľudia ich stále nachádzajú. To, čo prichádza do fronty alertov, nie je jeden nález, ale tri možné, a znamenajú rôzne veci. Prvou úlohou je oddeliť vystavenú službu od vystavených prihlasovacích údajov.

Prejdite pozorovacími bodmi v poradí. Zastavte sa, keď dôkaz zmení kategóriu, pretože ďalšia etapa odpovedá na inú otázku.

Prvá etapa: čo zachytenie skutočne videlo

Zachytenie paketov zaznamenáva to, čo bolo viditeľné v jeho vlastnom bode na ceste. Ten bod môže ležať pred neskorším rozhodnutím o filtrovaní. Zachytený paket dokazuje, že premávka tam dorazila. Nedokazuje nič o tom, čo sa stalo potom.

Všimnite si aj rozhranie. Zachytenie na verejnom adaptéri a zachytenie vnútri tunela opisujú rôzne body príchodu a alert, ktorý uvádza nesprávny bod, vedie k nesprávnemu záveru.

Windows filtruje aj na niekoľkých vrstvách zásobníka, takže úhľadný model, v ktorom nástroj na zachytávanie sedí na druhej vrstve a firewall na tretej, neprežije stretnutie s reálnym produktom. Prehľad Windows Filtering Platform opisuje filtrovanie naprieč vrstvami zásobníka, a preto sa poradie pozorovania musí určiť, nie predpokladať.

Druhá etapa: čo stanovuje záznam o zahození

Záznam o zahození hovorí, že hranica politiky ten paket odmietla. Je to silný dôkaz. Je aj úzky, pretože pokrýva jedno rozhodnutie na jednej hranici. Nič iné v zásobníku ním nie je opísané.

Korelujte podľa n-tice a časovej pečiatky. Rovnaký zdroj, rovnaký cieľ, rovnaký port, v tej istej sekunde. Bez takej zhody je podobne vyzerajúca udalosť v inom logu jednoducho iná udalosť a ich spojenie vytvorí príbeh, ktorý nikto neobháji.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Zatvorený port a zahodený paket vyzerajú zvonku rovnako a v týchto dvoch výstupoch úplne inak. Ten rozdiel je celý dôvod čítať lokálny záznam.

Tretia etapa: čo dokazuje udalosť overenia

Udalosť overenia hovorí, že komponent spracoval požiadavku natoľko, aby zaznamenal výsledok. Je to jediná z troch etáp, ktorá hovorí o identite, a nehovorí nič o tom, koľko paketov predtým dorazilo.

Čítajte skutočný kontext udalosti. Neúspešné prihlásenie pre účet, ktorý neexistuje, je šum zo skenovania. Neúspešné prihlásenie pre skutočný účet s vierohodným zdrojom je iná priorita. Úspešná relácia je úplne iná kategória incidentu.

Sledujte aj názvy protokolov. RPC a RDP sú oddelené služby s oddelenými portmi. Detektor, ktorý sleduje jeden z nich, nepokrýva druhý. Nástroje, ktoré zhrňujú sieťovú aktivitu, nie vždy uvádzajú, ktorý z tých dvoch udalosť vyvolal.

Jedna skorelovaná vzorka prekoná panel

Vyberte jeden autorizovaný test, spustite ho zámerne a sledujte ho od začiatku do konca: cieľová adresa a rozhranie, skutočná zdrojová adresa, port služby, účinný profil a pravidlo firewallu a zodpovedajúci výsledok služby. Zahrňte do toho reťazca aj akékoľvek nadradené mapovanie alebo cloudový firewall, pretože povoľujúce pravidlo tam môže prepísať úhľadné lokálne pravidlo.

Potom oddeľte dve povinnosti. Ak má byť správa len cez VPN, presadzujte to na verejnej aj tunelovej ceste a zachovajte schválenú cestu obnovy. Monitorovanie odmietnutého pokusu nie je tá istá úloha ako rozhodnutie, čo má server prijímať.

Geografické pravidlo alebo zablokovaný nesúvisiaci protokol nenahrádza nájdenie pozorovaného záznamu a rozhodnutia, ktoré dostal. Ani VPN: smerovanie odchádzajúcej premávky cez tunel nedokumentuje nič o prichádzajúcej autorizácii.