Nessus prek VPN: kam postaviti skener pred prvim skeniranjem

Ikona VPN ob brskalniku ne pove ničesar o procesu, ki pošilja pakete skeniranja. Če konzola in skener tečeta na različnih gostiteljih, je tunel brskalnika ena pot, vir skeniranja pa druga. Začnite pri točki izvajanja in nato nadaljujte navzven: pot, avtorizacija in poverilnice. Ta razlika ni brez razloga prva na seznamu.

To je kontrolni seznam pred zagonom, ne vadnica skeniranja. Vsak korak prinese dejstvo, ki ga lahko vpišete v zapis o delu, preden skener zapusti kateri koli paket.

Prvo preverjanje: poiščite proces, ki pošilja sonde

Narišite tri vloge jasno: brskalnik na prenosniku A, skenirno konzolo na gostitelju B in zasebni cilj C. Če na B teče tudi skenirni mehanizem, brskalnik potrebuje le pot do B. Če delo opravlja ločena skenirna naprava, ta naprava potrebuje pot do C.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Brskalnik, povezan z VPN, lahko doseže konzolo, medtem ko skener za njim še vedno nima poti do C. Mogoče je tudi nasprotno: skener je znotraj zasebnega omrežja, konzola pa je oddaljena. Ugotovite, katero razporeditev dejansko poganjate, preden spremenite katero koli omrežno nastavitev. Preden obtožite omrežje, v konfiguraciji skeniranja navedite napravo.

Če skener teče na A, si gostitelj brskalnika in skener delita kontekst, a le dokler proces ohranja isti imenski prostor in isto usmerjevalno tabelo. Vsebnik ali servisni račun morda ne podeduje tega, kar vidi interaktivni brskalnik. Konzola je upravljalna površina, ne skenirni mehanizem.

Drugo preverjanje: dokažite pot in DNS skenerja

Preverjanje poti zaženite na gostitelju skenerja, ne na prenosniku. Jedro vprašajte, kateri vmesnik in prehod bi uporabilo za naslov cilja, nato to ponovite za ime gostitelja cilja. Pot, ki obstaja za IP, in ime, ki se razreši v drug naslov, sta dve različni okvari.

Potrdite izvorni naslov, ki se bo pojavil pri cilju. Odjemalec VPN lahko dodeli naslov, drugačen od tistega, ki ga pričakuje požarni zid cilja, in naprava NAT ga lahko znova prepiše. Lastnik cilja potrebuje opaženi vir, ne naslova, natisnjenega v profilu VPN.

Preverite tudi povratno pot. Skener, ki doseže cilj, a ne prejme odgovorov, ima težavo z usmerjanjem ali požarnim zidom na povratni poti, in to je videti enako kot nedosegljiv cilj.

Tretje preverjanje: pridobite avtorizacijo za obseg in zorni kot

Lastnik cilja naj pisno navede sisteme, storitve, okolje, vir in časovno okno. Odločite, kateri zorni kot predstavlja ocena: zunanji uporabnik VPN, odobreni notranji odjemalec ali določen segment skenerja.

Zasebna pot ni dovoljenje za testiranje sosednjih omrežij. Seznam ciljev naj bo ozek, navedite izključene sisteme in se dogovorite o pogojih zaustavitve ter o stiku, ki lahko ustavi izvajanje. Skener z veseljem preveri vse, kar doseže, in prav zato mora biti obseg izrecen.

Odobreni vir zapišite v isti dokument. Če se opaženi vir skenerja razlikuje od odobrenega, izvajanje ne predstavlja dogovorjenega zornega kota, tudi ko je seznam ciljev pravilen.

Četrto preverjanje: uskladite poverilnice z globino ocene

Preverjanje dosegljivosti in overjena ocena sta različna testa. Odgovor vrat dokazuje, da je nekaj odgovorilo; ne dokazuje, da so se izvedla preverjanja s poverilnicami ali da je aplikacija račun avtorizirala.

Namenske poverilnice uporabite le, kadar dogovorjeni obseg zahteva overjena preverjanja. Potrdite dovoljenja in politiko zaklepanja računa ter se odločite, kako bodo ugotovitve shranjene in deljene, preden jih skeniranje ustvari.

Če poverilnice odpovejo, ne preidite tiho na neoverjeno izvajanje in poročila ne označite kot načrtovano oceno. Rezultat je drug test z drugim pomenom, in ta razlika sodi v poročilo.

Peto preverjanje: shranite načrt in nato zavestno zaženite

V delovnem toku skeniranja Nessus so izbira predloge, nastavljanje možnosti ter shranjevanje ali zagon skeniranja ločeni koraki. To ločenost uporabite za pregled seznama ciljev, vira in urnika, preden se začne kakršen koli promet.

Preden odobrite zagon, preverite, kateri vir VPN dovoljuje, kateri promet prenaša in kako si opomore po prekinjenem tunelu. Ne širite dostopa skozi požarni zid samo zato, ker je predhodna povezava spodletela; poiščite plast, ki jo je zavrnila, in popravite tisto plast.

Po izvajanju zapišite gostitelja skenerja, njegov opaženi vir, seznam ciljev in vsa preverjanja, ki jih ni bilo mogoče dokončati. Poročilo, izdelano iz drugega vira ali brez predvidenih poverilnic, ne predstavlja prvotnega načrta, in povedati to je del rezultata.

Prekličite dostope za delo in z ohranjenimi rezultati ravnajte po dogovorjenem postopku. Kontrolni seznam je končan šele, ko dokazi ustrezajo poti, ki ste jo odobrili, ne pa ko je skeniranje preprosto vrnilo rezultate.