Upozornenia na prihlásenie VPN nie sú upozornenia na prienik: sledujte reláciu
Neobvyklé prihlásenie je podnet na revíziu, nie rozsudok. Prepojte záznam o autentifikácii s reláciou a potom s tým, čoho sa relácia dotkla, skôr než to nazvete prienikom.
Upozornenie VPN, ktoré sa spustí na novú krajinu, pôsobí konečne a zvyčajne konečné nie je. Autentifikácia hovorí, že pokus bol prijatý; relácia hovorí, ktoré spojenie ho nieslo; záznamy o prostriedkoch hovoria, čo sa v tom spojení stalo. Každý odpovedá na inú otázku. Pravidlo, ktoré všetky tri zleje, vyrobí v pondelok tridsať tiketov a v piatok skutočný prípad minie.
Cudzia adresa je otázka, nie odpoveď
Cestovanie, mobilní operátori s výstupom v inej krajine, firemná webová proxy a prepridaný pool carrier-grade NAT posúvajú zdanlivý zdroj bez toho, aby posúvali útočníka. Záznam o prihlásení odráža, kade spojenie vstúpilo do siete, nie kto držal zariadenie.
Opačné zlyhanie je horšie, pretože je tiché. Ukradnuté heslo použité z mesta samotného používateľa vytvorí prihlásenie, ktoré v geografickej kontrole zodpovedá všetkým predchádzajúcim prihláseniam.
Považovať geografiu za rozsudok má merateľnú cenu. Cestujúce prenosné počítače vytvárajú stály prúd revízií, revízori sa učia zatvárať ich bez čítania a zvyk vydrží, kým do rovnakého frontu nedorazí skutočný prípad.
Tri typy záznamov odpovedajú na tri rôzne otázky
Začnite tým, čo nasadené produkty skutočne vydávajú, nie tým, čo naznačuje brožúra produktu. Rozhodnutie o autentifikácii pomenúva tvrdenú identitu, metódu a výsledok. Životný cyklus relácie pomenúva spojenie, bránu a pridelenú adresu, od začiatku po zastavenie.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Prázdna bunka je medzera v zbere, nie oslobodenie. Ak záznamy o prostriedkoch nikdy nedorazia, neprítomnosť podozrivého čítania znamená, že pipeline nemá čo hlásiť, a tichý panel opisuje pipeline, nie sieť. Zapíšte, ktoré záznamy nasadenie skutočne produkuje, skôr než sľúbite pravidlo, ktoré od nich závisí, a pomenujte vlastníka každého chýbajúceho toku.
Účtovné podrobnosti sú miestom, kde sa relácie stávajú overiteľnými. Účtovanie RADIUS opísané v RFC 2866 nesie začiatok, koniec a priebežné aktualizácie viazané na identifikátor relácie, takže relácia so začiatkom a bez konca je medzera, ktorú môžete pomenovať namiesto záhady.
Spájajte podľa relácie, nie podľa používateľského mena
Jeden účet legitímne drží niekoľko relácií naraz: notebook, telefón, laboratórny stroj ponechaný cez noc pripojený. Spojenie všetkých udalostí pre toto používateľské meno zleje tri zariadenia do jedného príbehu a kombináciu potom číta ako kompromitáciu. Pridelené adresy sa tiež recyklujú, takže spojenie, ktoré po skončení relácie stále zodpovedá adrese, vtiahne zariadenie z minulého mesiaca do dnešného incidentu. Uchovajte kľúč relácie vedľa adresy a obmedzte zhodu na časové okno, ktoré relácia skutočne pokrývala.
Tam, kde preklad odstráni pôvodný zdroj skôr, než ho služba uvidí, použite identitu, ktorá na tejto hranici prežije, napríklad subjekt vzájomného TLS alebo tvrdenie jednotného prihlásenia. Vymýšľať vzájomne jednoznačné mapovanie medzi adresou a osobou je tá istá chyba s krokmi navyše.
Upozornenie bez vlastníka je panel
Každé pravidlo potrebuje podmienku, neškodné vysvetlenia, ktoré ho vyvolávajú, dôkazy, ktoré treba získať, a osobu, ktorá koná. Opakovaná zamietnutá administratívna operácia, nával neúspešných hesiel a mlčiaci zberač sú tri rôzne incidenty s tromi rôznymi hodinami.
Oznámenie nie je obmedzenie a distribučný zoznam nič neobmedzuje. Zmena živej relácie vyžaduje komponent, ktorý to dokáže, či už bránu, ktorá spojenie zhodí, alebo poskytovateľa identity, ktorý reláciu odvolá. Zastarané toky a chýbajúce záznamy o zastavení patria tiež do textu pravidla, pretože zberač, ktorý deň nič neposlal, vyzerá z panela presne ako tichá sieť. Rozdiel je viditeľný len v samotnom pipeline.
Skontrolujte cestu zberu, kým uveríte tichému týždňu
Dokážte pipeline od začiatku do konca, skôr než naladíte jediné pravidlo. Nižšie uvedené príkazy potvrdzujú, že poslucháče autentifikácie a účtovania bežia, že testovacie poverenie sa odmieta zo správneho dôvodu a že udalosti relácií stále prichádzajú:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Odmietnutie prístupu z testu dokazuje, že požiadavka dorazila na server a že zdieľané tajomstvo sedelo, a to je časť, ktorú ľudia preskakujú. Namiesto toho časový limit ukazuje na tajomstvo, poslucháč alebo filter pred ním, a každé upozornenie nižšie je neoveriteľné, kým sa to neopraví.
Stav hodín je dôležitý, pretože korelačné okná predpokladajú zhodu. Brána odchýlená o minúty robí inak čisté spojenie relácie nemožným a revízori to kompenzujú rozširovaním okna, kým spojenie prestane rozlišovať. Skontrolujte odchýlku pred úpravou pravidla.
Potom prežeňte jedno pravidlo neškodným testom: vygenerujte prihlásenie z neočakávanej adresy, potvrďte, že upozornenie sa spustí, potvrďte, že reagujúci dokáže získať reláciu a jej udalosti o prostriedkoch, a potvrďte, že tiket nesie identifikátor relácie. Pravidlo, ktoré vytvorí súvislý príbeh, prejde. Pravidlo, ktoré vytvorí kopu riadkov záznamu, je stále panel. Zapíšte výsledok k pravidlu, aby budúca revízia začala dôkazmi, nie intuíciou.