Snort na okraji VPN: kde sú pakety viditeľné

Sledujte jednu požiadavku zo vzdialeného notebooku a tá prejde niekoľkými hranicami, kým ju čokoľvek môže skontrolovať. Vonkajší tunel sa končí v procese VPN, vnútorný paket sa objaví na rozhraní a relácia HTTPS vnútri pokračuje k aplikácii. Nástroj na kontrolu vidí len to, čo je viditeľné v bode, kam sa k nemu pakety dostanú. Nainštalujte ho bez toho, aby ste tento bod určili, a záznamy budú opisovať nesprávnu vrstvu.

Jeden paket prechádza niekoľkými hranicami

Pred ukončením VPN pozorovateľ vidí jedno vonkajšie spojenie, zvyčajne na port VPN, s adresami a veľkosťami, ale bez vnútornej štruktúry. Po ukončení sú vnútorné adresy, porty a protokoly dostupné v tom bode spracovania, ktorý ich odovzdáva. Vlastné TLS aplikácie zostáva šifrované, ak ho neukončí samostatný návrh. To sú tri úrovne viditeľnosti a názov balíka vám nepovie, ktorú ste kúpili.

Nakreslite cestu s vyznačenými hranicami a potom umiestnite senzor na líniu, kde sa dá na otázku odpovedať, pretože poloha je súčasťou odpovede. Hranica, ktorú nedokážete pomenovať, je hranica, ktorú nedokážete otestovať.

Pozrite sa, čo je v každom bode čitateľné

Skontrolujte rozhranie a krátky záznam, než uveríte akémukoľvek opisu architektúry.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Zoznam odkazov ukazuje existujúce tunelové a fyzické rozhrania a záznam ukazuje presne to, čo by senzor pripojený na tomto mieste dostal. Ak ukazuje vnútorné adresy, ale žiadne riadky požiadaviek HTTP, ste po ukončení VPN a stále mimo TLS aplikácie. To je obvyklé miesto pre sieťovú detekciu a nesprávne miesto pre kontrolu obsahu. Zopakujte záznam na vonkajšom rozhraní a porovnajte, čo odhaľuje druhá hranica.

Pasívna detekcia sama blokovať nedokáže

Dokumentácia Snortu ku kontrole oddeľuje pasívne pozorovanie od prevádzky v ceste. Pasívny režim môže upozorniť na prevádzku bez toho, aby ju na tejto ceste zastavil.

snort -T -c /etc/snort/snort.lua

Testovací režim overuje konfiguráciu bez spustenia senzora, čo je správny prvý krok pred akýmkoľvek nasadením. Prevádzka v ceste vyžaduje kompatibilné usporiadanie zachytávania paketov a zodpovedajúcu konfiguráciu vynucovania, nie len ďalší prepínač. Záznam v logu teda nie je dôkazom, že požiadavke sa zabránilo, a proces spustený s voľbou vyzerajúcou ako prevádzka v ceste nedokazuje, že skutočný posielaný tok cez neho prechádza. Overte, kde implementácia pakety skutočne odovzdáva.

Pred nasadením vyberte režim vynucovania

Rozhodnite, či je požiadavkou viditeľnosť alebo prevencia, pretože obe nesú iné správanie pri zlyhaní. Pasívny senzor, ktorý zlyhá, nechá prevádzku plynúť a vytvorí medzeru v monitorovaní; zariadenie v ceste, ktoré zlyhá, môže prevádzku prepustiť alebo zastaviť, a táto voľba musí byť zámerná. Dohodnite sa na jednom povolenom toku, jednom toku, ktorý musí byť odmietnutý, a správaní, ktoré chcete pri zlyhaní senzora. Udržujte obnovu správy oddelene od kontrolovanej cesty, aby chyba v senzore neodobrala aj váš prístup.

Potom zaznamenajte viditeľnú prevádzku, bod spracovania a správanie vynucovania. Tieto tri skutočnosti, nie nainštalovaný balík, opisujú, čo nasadenie skutočne robí.