Nessus cez VPN: kam umiestniť skener pred prvým skenovaním

Ikona VPN vedľa prehliadača nič nehovorí o procese, ktorý odosiela skenovacie pakety. Ak konzola a skener bežia na rôznych hostiteľoch, tunel prehliadača je jedna cesta a zdroj skenu druhá. Začnite pri mieste spustenia a postupujte von: trasa, autorizácia a prihlasovacie údaje. Toto rozlíšenie je prvým bodom zoznamu z dobrého dôvodu.

Toto je kontrolný zoznam pred spustením, nie návod na skenovanie. Každý krok prináša fakt, ktorý môžete zapísať do záznamu o zákazke skôr, než skener opustí jediný paket.

Kontrola jedna: nájdite proces, ktorý odosiela sondy

Nakreslite tri roly jasne: prehliadač na notebooku A, skenovaciu konzolu na hostiteľovi B a privátny cieľ C. Ak na B beží aj skenovací engine, prehliadač potrebuje len cestu k B. Ak prácu robí samostatné skenovacie zariadenie, potrebuje toto zariadenie cestu k C.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Prehliadač pripojený k VPN môže dosiahnuť konzolu, zatiaľ čo skener za ňou stále nemá trasu k C. Možný je aj opak: skener je vnútri privátnej siete a konzola je vzdialená. Zistite, ktoré usporiadanie skutočne prevádzkujete, skôr než zmeníte akékoľvek sieťové nastavenie. Skôr než obviníte sieť, pomenujte zariadenie v konfigurácii skenu.

Ak skener beží na A, hostiteľ prehliadača a skener zdieľajú kontext, ale len kým tento proces zachováva rovnaký menný priestor a rovnakú smerovaciu tabuľku. Kontajner alebo servisný účet nemusí zdediť to, čo vidí interaktívny prehliadač. Konzola je správne rozhranie, nie skenovací engine.

Kontrola dva: dokážte trasu a DNS skenera

Spustite kontrolu trasy na hostiteľovi skenera, nie na notebooku. Spýtajte sa jadra, ktoré rozhranie a bránu by použilo pre adresu cieľa, a to isté zopakujte pre názov hostiteľa cieľa. Trasa, ktorá existuje pre IP, a meno, ktoré sa prekladá na inú adresu, sú dve rôzne poruchy.

Potvrďte zdrojovú adresu, ktorá sa objaví v cieli. Klient VPN môže prideliť inú adresu, než očakáva firewall cieľa, a zariadenie NAT ju môže znova prepísať. Vlastník cieľa potrebuje pozorovaný zdroj, nie adresu vytlačenú v profile VPN.

Skontrolujte aj spiatočnú cestu. Skener, ktorý dosiahne cieľ, ale nedostáva odpovede, má problém so smerovaním alebo firewallom na spiatočnej ceste, a to vyzerá rovnako ako nedostupný cieľ.

Kontrola tri: nechajte autorizovať rozsah a uhol pohľadu

Nechajte vlastníka cieľa písomne uviesť systémy, služby, prostredie, zdroj a časové okno. Rozhodnite, aký uhol pohľadu hodnotenie predstavuje: vonkajší používateľ VPN, povolený interný klient alebo konkrétny segment skenera.

Privátna trasa nie je oprávnenie testovať susedné siete. Držte zoznam cieľov úzky, uveďte vylúčené systémy a dohodnite podmienky zastavenia a kontakt, ktorý dokáže beh zastaviť. Skener rád otestuje všetko, na čo dosiahne, a práve preto musí byť rozsah výslovný.

Zapíšte schválený zdroj do rovnakého dokumentu. Ak sa pozorovaný zdroj skenera líši od schváleného, beh nepredstavuje dohodnutý uhol pohľadu, aj keď je zoznam cieľov správny.

Kontrola štyri: zlaďte prihlasovacie údaje s hĺbkou hodnotenia

Kontrola dostupnosti a autentizované hodnotenie sú rôzne testy. Odpoveď portu dokazuje, že niečo odpovedalo; nedokazuje, že prebehli kontroly s prihlasovacími údajmi alebo že aplikácia účet autorizovala.

Vyhradené prihlasovacie údaje používajte len vtedy, keď dohodnutý rozsah vyžaduje autentizované kontroly. Potvrďte oprávnenia a politiku uzamknutia účtu a rozhodnite, ako budú nálezy ukladané a zdieľané, skôr než ich sken vytvorí.

Ak prihlasovacie údaje zlyhajú, neprechádzajte ticho k neautentizovanému behu a neoznačujte správu ako plánované hodnotenie. Výsledok je iný test s iným významom a tento rozdiel patrí do správy.

Kontrola päť: uložte plán a potom vedome spustite

V pracovnom postupe skenovania Nessus je voľba šablóny, konfigurácia nastavení a uloženie alebo spustenie skenu samostatnými krokmi. Využite toto oddelenie na revíziu zoznamu cieľov, zdroja a plánu, skôr než začne akákoľvek prevádzka.

Skôr než spustenie autorizujete, skontrolujte, aký zdroj VPN povoľuje, akú prevádzku nesie a ako sa zotavuje z prerušeného tunela. Nerozširujte prístup cez firewall len preto, že úvodné spojenie zlyhalo; nájdite vrstvu, ktorá ho odmietla, a opravte ju.

Po behu zaznamenajte hostiteľa skenera, jeho pozorovaný zdroj, zoznam cieľov a všetky kontroly, ktoré sa nepodarilo dokončiť. Správa vytvorená z iného zdroja alebo bez zamýšľaných prihlasovacích údajov nepredstavuje pôvodný plán, a uviesť to je súčasťou výstupu.

Zrušte prístupy k zákazke a so zachovanými výsledkami nakladajte podľa dohodnutého postupu. Kontrolný zoznam je hotový až vtedy, keď dôkazy zodpovedajú trase, ktorú ste schválili, nie vtedy, keď sken len vrátil výsledky.