RDP mení klienta: prečo databáza vidí iný host

Vaše pravidlo VPN databázu zakazuje a tiket sa uzavrie ako porucha firewallu, zatiaľ čo ten istý používateľ otvorí publikovanú plochu a bez problémov sa na tú databázu opýta. Obe tvrdenia sú pravdivé. Plocha je iný klient, s vlastnou adresou v segmente, ktorému pravidlá už dôverujú, a s vlastnou identitou, keď sa pripája ďalej. Čo vyzerá ako protirečivé pravidlo, býva druhý požiadavok, ktorý nikto nedal do revízie.

Druhý požiadavok má vlastnú adresu klienta

Keď aplikácia v relácii otvorí spojenie do databázy, TCP handshake sa začína na hoste relácie. Jeho zdrojová adresa patrí sieti tohto hosta, takže každý router a firewall databázy na ceste vyhodnocuje segment plochy, a nie fond tunelov, z ktorého prišiel váš notebook. Adresa VPN sa v tom toku nikdy neobjaví. Preto môže byť pravidlo zákazu podľa zdroja zároveň správne a nepodstatné.

Čítajte pôvod zvnútra relácie, nie z notebooku, potom otestujte ďalšiu cestu z toho istého miesta. Obe odpovede by sa mali zhodnúť na tom, ktorý host posiela požiadavok.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Porovnajte, čo relácia hlási, s adresou, ktorú databáza zaznamenala pre ten istý čas. Keď log servera ukáže podsúšť plochy namiesto fondu tunelov, otázka prestáva byť, či pravidlo zabralo, a stáva sa, ktorý host požiadavok vykonal. To je iné vyšetrovanie s iným vlastníkom.

Identita sa mení rovnako ako adresovanie

Nadväzujúce spojenie sa zvyčajne autentizuje ako token relácie, uložené poverenie alebo servisný účet aplikácie a zdroj si zaznamená, čo mu bolo dané. Audítorská stopa so servisným účtom na databáze teda nedokazuje, že dotaz spustil človek. Neidentifikuje ani toho človeka. Len vlastný log relácie plochy spája tieto dva záznamy.

Autorizácia prebieha dvakrát a druhé rozhodnutie sa robí s inými vstupmi. Prvé udeľuje prihlásenie na plochu konkrétnemu používateľovi, druhé udeľuje to, čo token tohto používateľa alebo účet aplikácie smie so zdrojom urobiť. Skupina helpdesku, ktorá smie otvoriť plochu, nie je automaticky skupinou, ktorá smie čítať tabuľku zákazníkov.

Pozrite sa na token a cestu delegovania, skôr než napíšete poznámku o prístupe. Oboje je vidieť zvnútra relácie a to je jediné miesto, kde odpoveď nie je odhad.

whoami /groups
klist
query session

Ak aplikácia používa servisný účet, rozhodujú ďalej jeho práva. Rotácia tohto poverenia patrí do revízie prístupu, nie do neskoršej prevádzkovej úvahy.

Prečo je priama cesta stále a správne zablokovaná

Pravidlo zákazu nie je nesprávne len preto, že cieľ je dostupný inou cestou. Segmentácia sa vyhodnocuje podľa zdroja a plocha sedí v segmente, ktorý bol povolený dávno predtým, než ho niekto začal považovať za cestu do databázy. Nič politiku neobišlo. Politika len opisuje dva rôzne zdroje s dvoma rôznymi výsledkami.

Revízia musí odpovedať, čo môže spustiť každá autorizovaná relácia na tomto hoste. Prehliadače s uloženými reláciami, mapované disky, agenti držiaci poverenia a lokálne načúvajúce služby všetky rozširujú dosah plochy a žiadny z nich sa neobjaví v tikete, ktorý prihlásenie udelil. Ten inventár je skutočná plocha oprávnení.

Vymenujte ho zvnútra testovacej relácie, nie z tabuľky. Hŕstka príkazov pokryje väčšinu plochy.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Vyberte hranicu vedome

Tri tvary sa hodia na rôzne úlohy a voľba by mala sledovať úlohu, nie nástroj, ktorý náhodou existuje. Publikovaná aplikácia sprístupní jeden program s vlastnými oprávneniami, plná plocha sprístupní všetko, čo profil používateľa dokáže, a úzky účet databázy s obmedzením zdroja sprístupní jeden zdroj celkom bez plochy. Najužší tvar, ktorý prácu ešte dokončí, je ten, ktorý treba zdokumentovať. Čokoľvek širšie potrebuje dôvod napísaný vedľa.

Na jednu správu je publikovaná aplikácia alebo obmedzený účet menšie povolenie ako všeobecná plocha. Na údržbu, ktorá naozaj potrebuje viac nástrojov, môže byť plocha správna, ale potom schválenie opisuje celý host, nie jednu aplikáciu. Opýtajte sa vlastníka zdroja, s ktorou z týchto možností súhlasí.

Pohyb údajov je samostatný prepínač. Schránka, presmerovanie diskov a sťahovanie môžu preniesť firemné údaje ku klientovi a spúšťanie aplikácie na diaľku samo o sebe neudrží údaje na diaľku.

Skontrolujte obe schválenia a cestu odstránenia

Do záznamu patria dve schválenia: právo dostať sa na plochu a otvoriť ju a právo používať zdroje z jej vnútra. Každému priraďte vlastníka a druhé držte viditeľné pre každého, kto zdroj reviduje. Práve na druhý záznam sa audítor opýta, pretože opisuje dosah, nie vstup. Napíšte oba pred schválením zmeny, nie po prvom incidente.

Potom otestujte odstránenie, pretože odpojená relácia môže prežiť svoj dôvod. Tabuľka relácií je najrýchlejšie miesto, kde vidieť, čo ešte beží.

query session
query user
qwinsta /server:rdsh01.corp.internal

Odpojenie klienta nechá vzdialenú reláciu bežať a jej sieťové spojenia a uložené poverenia môžu zostať použiteľné, kým sa tá relácia neskončí. Odhláste sa alebo reláciu výslovne ukončite a potvrďte, že po tom sa počítadlo nižšie prestane posúvať. Test odstránenia, ktorý len zavrie veko notebooku, nič nedokazuje. Spustite ten istý test raz s vypnutým účtom a raz s odobratým oprávnením na plochu, potom zapíšte, čo zdroj v každom prípade zalogoval.