Dohodni alarm na strežniku VPN: preberite opazovalno točko

Strežnik za VPN ohranja svoje javne vnose storitev in ljudje jih še naprej najdejo. Kar prispe v čakalno vrsto alarmov, ni ena najdba, ampak tri možne, in pomenijo različne stvari. Prva naloga je ločiti izpostavljeno storitev od izpostavljenih poverilnic.

Pojdite skozi opazovalne točke po vrsti. Ustavite se, ko dokaz spremeni kategorijo, ker naslednja stopnja odgovarja na drugo vprašanje.

Prva stopnja: kaj je zajem dejansko videl

Zajem paketov zabeleži, kaj je bilo vidno na njegovi lastni točki na poti. Ta točka je lahko pred poznejšo odločitvijo o filtriranju. Zajeti paket dokazuje, da je promet prispel tja. Ne dokazuje ničesar o tem, kaj se je zgodilo potem.

Bodite pozorni tudi na vmesnik. Zajem na javnem vmesniku in zajem znotraj tunela opisujeta različni točki prihoda, alarm, ki navaja napačno točko, pa vodi do napačnega sklepa.

Windows filtrira tudi na več plasteh sklada, zato urejen model, v katerem orodje za zajem sedi na drugi plasti in požarni zid na tretji, ne preživi srečanja z resničnim izdelkom. Pregled Windows Filtering Platform opisuje filtriranje po plasteh sklada, zato je treba vrstni red opazovanja ugotoviti, ne pa domnevati.

Druga stopnja: kaj ugotovi zapis o zavrženju

Zapis o zavrženju pravi, da je meja pravilnika ta paket zavrnila. To je močan dokaz. Je tudi ozek, ker pokriva eno odločitev na eni meji. Nič drugega v skladu ni z njim opisano.

Povežite po tuple in časovnem žigu. Isti vir, isti cilj, ista vrata, v isti sekundi. Brez tega ujemanja je podobno videti dogodek v drugem dnevniku preprosto drug dogodek, njuno seznanjanje pa ustvari zgodbo, ki je nihče ne more zagovarjati.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Zaprta vrata in zavržen paket sta od zunaj videti enaka in v teh dveh izhodih povsem različna. Ta razlika je ves razlog za branje lokalnega zapisa.

Tretja stopnja: kaj dokaže dogodek preverjanja pristnosti

Dogodek preverjanja pristnosti pravi, da je komponenta zahtevo obdelala dovolj daleč, da je zabeležila izid. Je edina od treh stopenj, ki govori o identiteti, in ne pove ničesar o tem, koliko paketov je prispelo pred tem.

Preberite dejanski kontekst dogodka. Neuspešna prijava za račun, ki ne obstaja, je šum iz skeniranja. Neuspešna prijava za resničen račun z verjetnim virom je druga prednostna naloga. Uspešna seja je povsem druga kategorija incidenta.

Opazujte tudi imena protokolov. RPC in RDP sta ločeni storitvi z ločenimi vrati. Zaznavalo, ki spremlja enega od njiju, ne pokriva drugega. Orodja, ki povzemajo omrežno dejavnost, ne navedejo vedno, kateri od teh dveh je ustvaril dogodek.

En povezan vzorec premaga nadzorno ploščo

Izberite en pooblaščen preizkus, zaženite ga namerno in mu sledite od začetka do konca: ciljni naslov in vmesnik, pravi izvorni naslov, vrata storitve, veljavni profil in pravilo požarnega zidu ter ustrezni izid storitve. V to verigo vključite morebitno nadrejeno preslikavo ali oblačni požarni zid, ker lahko dovoljujoče pravilo tam preglasi urejeno lokalno pravilo.

Nato ločite dve obveznosti. Če naj bo upravljanje samo prek VPN, to uveljavite na javni in tunelski poti, hkrati pa ohranite odobreno pot za obnovitev. Spremljanje zavrnjenega poskusa ni ista naloga kot odločanje, kaj naj strežnik sprejme.

Geografsko pravilo ali blokiran nepovezan protokol ne nadomesti iskanja opaženega vnosa in odločitve, ki jo je prejel. Tudi VPN ne: usmerjanje odhodnega prometa skozi tunel ne dokumentira ničesar o dohodni avtorizaciji.