Snort na robu VPN: kjer so paketi vidni

Sledite eni zahtevi z oddaljenega prenosnika in prečka več meja, preden jo lahko karkoli pregleda. Zunanji tunel se konča v procesu VPN, notranji paket se pojavi na vmesniku, seja HTTPS v notranjosti pa se nadaljuje do aplikacije. Orodje za pregled vidi le tisto, kar je vidno na točki, kjer paketi pridejo do njega. Namestite ga, ne da bi določili to točko, in dnevniki bodo opisovali napačen sloj.

En paket prečka več mej

Pred zaključkom VPN opazovalec vidi eno zunanjo povezavo, običajno na vrata VPN, z naslovi in velikostmi, vendar brez notranje strukture. Po zaključku so notranji naslovi, vrata in protokoli na voljo na tisti točki obdelave, ki jih preda. Lastni TLS aplikacije ostane šifriran, razen če ga zaključi ločena zasnova. To so tri ravni vidnosti in ime paketa vam ne pove, katero ste kupili.

Narišite pot z označenimi mejami, nato postavite senzor na črto, kjer je mogoče odgovoriti na vprašanje, ker je lokacija del odgovora. Meja, ki je ne morete poimenovati, je meja, ki je ne morete preizkusiti.

Poglejte, kaj je na vsaki točki berljivo

Preverite vmesnik in kratek posnetek, preden zaupate kateremukoli opisu arhitekture.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Seznam povezav prikazuje obstoječe tunele in fizične vmesnike, posnetek pa prikazuje natanko to, kar bi prejel senzor, priključen tam. Če prikazuje notranje naslove, ne pa vrstic zahtev HTTP, ste po zaključku VPN in še vedno zunaj TLS aplikacije. To je običajno mesto za omrežno zaznavanje in napačno mesto za pregled vsebine. Ponovite posnetek na zunanjem vmesniku, da primerjate, kaj razkrije druga meja.

Pasivno zaznavanje samo ne more blokirati

Dokumentacija Snorta za pregled ločuje pasivno opazovanje od delovanja v liniji. Pasivni način lahko opozori na promet, ne da bi ga na tej poti ustavil.

snort -T -c /etc/snort/snort.lua

Preizkusni način preveri konfiguracijo, ne da bi zagnal senzor, kar je pravi prvi korak pred vsako namestitvijo. Delovanje v liniji zahteva združljivo ureditev zajemanja paketov in ustrezno konfiguracijo izvajanja, ne le dodatne zastavice. Zapis v dnevniku torej ni dokaz, da je bila zahteva preprečena, in proces, zagnan z možnostjo, ki spominja na delovanje v liniji, ne dokazuje, da resnični posredovani tok poteka skozenj. Potrdite, kje izvedba dejansko preda pakete.

Izberite način izvajanja pred namestitvijo

Odločite se, ali je zahteva vidnost ali preprečevanje, ker imata različno vedenje ob napaki. Pasivni senzor, ki odpove, pusti promet teči in ustvari vrzel v nadzoru; naprava v liniji, ki odpove, lahko promet spusti ali ustavi, in ta izbira mora biti namerna. Dogovorite se o enem dovoljenem toku, enem toku, ki ga je treba zavrniti, in vedenju, ki ga želite ob napaki senzorja. Vzdržujte obnovitev upravljanja ločeno od pregledane poti, da napaka v senzorju ne odvzame tudi vašega dostopa.

Nato zabeležite viden promet, točko obdelave in vedenje izvajanja. Ta tri dejstva, ne nameščeni paket, opisujejo, kaj namestitev v resnici počne.