RDP zamenja odjemalca: zakaj baza podatkov vidi drugega gostitelja

Vaše pravilo VPN zavrne bazo podatkov in zahtevek se zapre kot napaka požarnega zidu, medtem ko isti uporabnik odpre objavljeno namizje in brez težav poizveduje po tej bazi. Obe trditvi sta resnični. Namizje je drug odjemalec, z lastnim naslovom v segmentu, ki mu pravila že zaupajo, in z lastno identiteto, ko se poveže naprej. Kar je videti kot protislovno pravilo, je običajno druga zahteva, ki je nihče ni vključil v pregled.

Druga zahteva ima svoj naslov odjemalca

Ko aplikacija znotraj seje odpre povezavo do baze, se rokovanje TCP začne na gostitelju seje. Njegov izvorni naslov pripada omrežju tega gostitelja, zato vsak usmerjevalnik in požarni zid baze na poti ocenjuje segment namizja in ne bazena tunelov, iz katerega je prišel vaš prenosnik. Naslov VPN se v tem toku nikoli ne pojavi. Zato je lahko pravilo zavrnitve na podlagi vira hkrati pravilno in nepomembno.

Preberite izvor znotraj seje in ne s prenosnika, nato preizkusite nadaljnjo pot z istega mesta. Oba odgovora bi se morala ujemati glede tega, kateri gostitelj pošilja zahtevo.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Primerjajte, kar poroča seja, z naslovom, ki ga je baza zabeležila za isti trenutek. Ko dnevnik strežnika pokaže podomrežje namizja namesto bazena tunelov, vprašanje preneha biti, ali se je pravilo sprožilo, in postane, kateri gostitelj je poslal zahtevo. To je druga preiskava z drugim lastnikom.

Identiteta se spremeni skupaj z naslavljanjem

Nadaljnja povezava se običajno overi kot žeton seje, shranjena poverilnica ali servisni račun aplikacije, vir pa zabeleži, kaj je prejel. Zato revizijska sled s servisnim računom v bazi ne dokazuje, da je poizvedbo izvedel človek. Tudi tega človeka ne prepozna. Samo dnevnik seje namizja poveže ta dva zapisa.

Pooblastitev se zgodi dvakrat in druga odločitev je sprejeta z drugačnimi vhodi. Prva imenovanemu uporabniku podeli prijavo v namizje, druga podeli, kaj lahko žeton tega uporabnika ali račun aplikacije stori z virom. Skupina pomoči, ki sme odpreti namizje, ni samodejno skupina, ki sme brati tabelo strank.

Poglejte žeton in pot delegiranja, preden napišete zapisek o dostopu. Oboje je vidno znotraj seje in to je edino mesto, kjer odgovor ni ugibanje.

whoami /groups
klist
query session

Če aplikacija uporablja servisni račun, so naprej pomembne njegove pravice. Zamenjava teh poverilnic spada v pregled dostopa, ne v poznejšo operativno misel.

Zakaj je neposredna pot še vedno in upravičeno blokirana

Pravilo zavrnitve ni napačno samo zato, ker je cilj dosegljiv po drugi poti. Segmentacija se ocenjuje po viru, namizje pa sedi v segmentu, ki je bil dovoljen veliko prej, preden ga je kdo začel imeti za pot do baze. Nič ni obšlo politike. Politika preprosto opisuje dva različna vira z dvema različnima izidoma.

Pregled mora odgovoriti, kaj lahko začne vsaka pooblaščena seja na tem gostitelju. Brskalniki s shranjenimi sejami, preslikani diski, agenti s poverilnicami in krajevno poslušajoče storitve vse razširjajo doseg namizja in nobeno od tega se ne pojavi v zahtevku, ki je podelil prijavo. Ta seznam je resnična površina dovoljenj.

Naštejte ga znotraj preizkusne seje, ne iz preglednice. Nekaj ukazov pokrije večino površine.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Izberite mejo namerno

Tri oblike ustrezajo različnim nalogam in izbira bi morala slediti nalogi, ne orodju, ki slučajno obstaja. Objavljena aplikacija izpostavi en program z lastnimi dovoljenji, celotno namizje izpostavi vse, kar zmore uporabniški profil, ozek račun baze z omejitvijo vira pa izpostavi en vir povsem brez namizja. Najožja oblika, ki še opravi delo, je tista, ki jo je treba dokumentirati. Vse širše potrebuje razlog, zapisan ob njej.

Za eno poročilo je objavljena aplikacija ali omejen račun manjša podelitev kot splošno namizje. Za vzdrževanje, ki res potrebuje več orodij, je namizje lahko pravilno, a takrat odobritev opisuje celotnega gostitelja in ne ene aplikacije. Vprašajte lastnika vira, s katero od teh se strinja.

Premikanje podatkov je ločeno stikalo. Odložišče, preusmerjanje diskov in prenosi lahko prenesejo podatke podjetja do odjemalca, izvajanje aplikacije na daljavo pa samo po sebi ne ohrani podatkov na daljavo.

Preverite obe odobritvi in pot odstranitve

V zapis spadata dve odobritvi: pravica doseči namizje in ga odpreti, ter pravica uporabljati vire od znotraj. Vsaki določite lastnika in drugo ohranite vidno vsakomur, ki pregleduje vir. Prav o drugem vpisu bo vprašal revizor, ker opisuje doseg in ne vstop. Napišite oba, preden je sprememba odobrena, ne po prvem incidentu.

Nato preizkusite odstranitev, ker lahko prekinjena seja preživi svoj razlog. Tabela sej je najhitrejše mesto, da vidite, kaj še teče.

query session
query user
qwinsta /server:rdsh01.corp.internal

Prekinitev odjemalca pusti oddaljeno sejo delujočo, njene omrežne povezave in predpomnjene poverilnice pa lahko ostanejo uporabne, dokler se ta seja ne konča. Odjavite se ali sejo izrecno končajte in potrdite, da se števec spodaj po tem preneha premikati. Preizkus odstranitve, ki samo zapre pokrov prenosnika, ne dokaže ničesar. Izvedite isti preizkus enkrat z onemogočenim računom in enkrat z odvzetim dovoljenjem za namizje, nato zabeležite, kaj je vir v vsakem primeru zabeležil.