Opozorila o prijavi v VPN niso opozorila o vdoru: spremljajte sejo
Nenavadna prijava je razlog za pregled, ne sodba. Povežite zapis o preverjanju pristnosti s sejo in nato s tem, česar se je seja dotaknila, preden to imenujete vdor.
Opozorilo VPN, ki se sproži ob novi državi, deluje dokončno in običajno ni. Preverjanje pristnosti pravi, da je bil poskus sprejet; seja pravi, katera povezava ga je nosila; zapisi o virih povedo, kaj se je zgodilo v tej povezavi. Vsak odgovarja na drugo vprašanje. Pravilo, ki vse tri združi, ustvari trideset zahtevkov v ponedeljek in zgreši resnični primer v petek.
Tuji naslov je vprašanje, ne odgovor
Potovanja, mobilni operaterji z izhodom v drugi državi, poslovni spletni posrednik in prerazporejeni sklad carrier-grade NAT vsi premikajo navidezni vir, ne da bi premaknili napadalca. Zapis o prijavi odraža, od kod je povezava vstopila v omrežje, ne kdo je držal napravo.
Obratna napaka je hujša, ker je tiha. Ukradeno geslo, uporabljeno iz uporabnikovega lastnega mesta, ustvari prijavo, ki se pri geografskem preverjanju ujema z vsemi prejšnjimi prijavami.
Obravnavanje geografije kot sodbe ima merljivo ceno. Potujoči prenosniki ustvarjajo stalen tok pregledov, pregledovalci se naučijo, da jih zaprejo brez branja, in navada ostane, dokler resnični primer ne prispe v isto vrsto.
Tri vrste zapisov odgovarjajo na tri različna vprašanja
Začnite s tem, kar nameščeni izdelki dejansko oddajajo, ne s tem, kar brošura izdelka nakazuje, da bi lahko. Odločitev o preverjanju pristnosti navaja zatrjevano identiteto, metodo in rezultat. Življenjski cikel seje navaja povezavo, prehod in dodeljeni naslov, od začetka do ustavitve.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Prazna celica je vrzel v zbiranju, ne oprostitev. Če dogodki o virih nikoli ne prispejo, odsotnost sumljivega branja pomeni, da cevovod nima česa poročati, in tih nadzornik opisuje cevovod, ne omrežja. Zapišite, katere zapise namesnitev dejansko ustvari, preden obljubite pravilo, ki je od njih odvisno, in imenujte lastnika vsakega manjkajočega toka.
Računovodski podatki so mesto, kjer seje postanejo preverljive. Računovodstvo RADIUS, opisano v RFC 2866, prenaša začetek, ustavitev in vmesne posodobitve, vezane na identifikator seje, zato je seja z začetkom in brez ustavitve vrzel, ki jo lahko poimenujete, namesto uganke.
Povezujte po seji, ne po uporabniškem imenu
En račun zakonito drži več sej hkrati: prenosnik, telefon, laboratorijski stroj, puščen priključen čez noč. Povezovanje vsakega dogodka za to uporabniško ime zlije tri naprave v eno zgodbo in nato kombinacijo bere kot kompromitacijo. Dodeljeni naslovi se tudi reciklirajo, zato povezava, ki se po koncu seje še vedno ujema z naslovom, potegne napravo prejšnjega meseca v današnji incident. Hranite ključ seje ob naslovu in omejite ujemanje na časovno okno, ki ga je seja dejansko pokrivala.
Kjer prevod odstrani prvotni vir, preden ga storitev vidi, uporabite identiteto, ki preživi na tej meji, na primer subjekt medsebojnega TLS ali trditev enotne prijave. Izmišljanje preslikave ena na ena med naslovom in osebo je ista napaka z dodatnimi koraki.
Opozorilo brez lastnika je plošča
Vsako pravilo potrebuje pogoj, neškodljiva pojasnila, ki ga sprožijo, dokaze, ki jih je treba zbrati, in osebo, ki deluje. Ponovljena zavrnjena upravna operacija, izbruh neuspešnih gesel in tihi zbiralnik so trije različni incidenti s tremi različnimi urami.
Obvestilo ni omejevanje in distribucijski seznam ničesar ne omeji. Za spremembo žive seje je potrebna komponenta, ki to zmore, bodisi prehod, ki spusti povezavo, bodisi ponudnik identitete, ki sejo prekliče. Zastareli tokovi in manjkajoči zapisi o ustavitvi spadajo tudi v besedilo pravila, ker zbiralnik, ki ves dan ni poslal ničesar, s plošče izgleda natanko kot tiho omrežje. Razlika je vidna le v samem cevovodu.
Preverite pot zbiranja, preden zaupate tihemu tednu
Dokažite cevovod od začetka do konca, preden nastavite eno samo pravilo. Spodnji ukazi potrjujejo, da poslušalca za preverjanje pristnosti in računovodstvo delujeta, da se preskusno poverilnico zavrne iz pravega razloga in da dogodki sej še vedno prihajajo:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject iz preskusa dokazuje, da je zahteva dosegla strežnik in da se je skupna skrivnost ujemala, in to je del, ki ga ljudje preskočijo. Časovna prekoračitev namesto tega kaže na skrivnost, poslušalca ali filter pred njim, in vsako opozorilo spodaj ni preverljivo, dokler to ni popravljeno.
Stanje ure je pomembno, ker korelacijska okna predpostavljajo soglasje. Prehod, ki odstopa za nekaj minut, naredi sicer čisto povezavo seje videti nemogočo, pregledovalci pa to nadomestijo s širitvijo okna, dokler povezava ne preneha razlikovati. Pred urejanjem pravila preverite odstopanje.
Nato poženite eno pravilo skozi neškodljiv preskus: ustvarite prijavo z nepričakovanega naslova, potrdite, da se opozorilo sproži, potrdite, da lahko odzivnik pridobi sejo in njene dogodke o virih, in potrdite, da zahtevek nosi identifikator seje. Pravilo, ki ustvari skladno zgodbo, prestane. Pravilo, ki ustvari kup vrstic dnevnika, je še vedno plošča. Rezultat zapišite ob pravilu, da se naslednji pregled začne z dokazi in ne z intuicijo.