Alarm hyrës në një server VPN: lexo pikën e vëzhgimit

Një server pas një VPN mban shënimet e tij publike të shërbimit, dhe njerëzit vazhdojnë t'i gjejnë ato. Ajo që arrin në radhën e alarmeve nuk është një gjetje, por tre të mundshme, dhe ato nënkuptojnë gjëra të ndryshme. Detyra e parë është të ndash një shërbim të ekspozuar nga një kredencial i ekspozuar.

Kalo nëpër pikat e vëzhgimit me radhë. Ndalo kur prova ndryshon kategori, sepse faza tjetër përgjigjet një pyetjeje tjetër.

Faza e parë: çfarë pa në të vërtetë kapja

Një kapje paketash regjistron atë që ishte e dukshme në pikën e vet në rrugë. Ajo pikë mund të ndodhet përpara një vendimi filtri të mëvonshëm. Një paketë e kapur provon që trafiku arriti atje. Nuk provon asgjë për atë që ndodhi më pas.

Vëre edhe ndërfaqen. Një kapje në përshtatësin publik dhe një kapje brenda tunelit përshkruajnë pika të ndryshme mbërritjeje, dhe një alarm që citon pikën e gabuar të çon në përfundimin e gabuar.

Windows filtron gjithashtu në disa shtresa të stivës, prandaj modeli i rregullt ku mjeti i kapjes qëndron në shtresën dy dhe firewalli në shtresën tre nuk i mbijeton takimit me një produkt real. Përmbledhja e Windows Filtering Platform përshkruan filtrimin nëpër shtresat e stivës, prandaj rendi i vëzhgimit duhet përcaktuar, jo supozuar.

Faza e dytë: çfarë vërteton shënimi i refuzimit

Një shënim refuzimi thotë se një kufi politike e refuzoi atë paketë. Është provë e fortë. Është edhe provë e ngushtë, sepse mbulon një vendim në një kufi. Asgjë tjetër në stivë nuk përshkruhet prej tij.

Korrelo sipas tuple-it dhe vulës kohore. I njëjti burim, i njëjti destinacion, i njëjti port, brenda të njëjtës sekondë. Pa atë përputhje, një ngjarje që duket e ngjashme në një regjistër tjetër është thjesht një ngjarje tjetër, dhe bashkimi i tyre prodhon një histori që askush nuk mund ta mbrojë.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Një port i mbyllur dhe një paketë e refuzuar duken identike nga jashtë dhe krejt të ndryshme në këto dy dalje. Ai ndryshim është i gjithë arsyeja për të lexuar shënimin lokal.

Faza e tretë: çfarë provon ngjarja e autentikimit

Një ngjarje autentikimi thotë se një komponent e përpunoi kërkesën mjaftueshëm sa të regjistrojë një rezultat. Është e vetmja nga tre fazat që flet për identitetin, dhe nuk thotë asgjë për sa paketa mbërritën përpara saj.

Lexo kontekstin real të ngjarjes. Një hyrje e dështuar për një llogari që nuk ekziston është zhurmë nga skanimi. Një hyrje e dështuar për një llogari reale me një burim të besueshëm është një prioritet tjetër. Një sesion i suksesshëm është një kategori krejt tjetër incidenti.

Vëre edhe emrat e protokolleve. RPC dhe RDP janë shërbime të ndara me porte të ndara. Një detektor që vëzhgon njërin prej tyre nuk mbulon tjetrin. Mjetet që përmbledhin aktivitetin e rrjetit nuk e thonë gjithmonë se cili nga të dy e prodhoi ngjarjen.

Një mostër e korreluar mund një panel

Zgjidh një test të autorizuar, ekzekutoje me qëllim dhe ndiqe nga fillimi në fund: adresa e destinacionit dhe ndërfaqja, adresa e vërtetë e burimit, porti i shërbimit, profili dhe rregulli efektiv i firewall-it, dhe rezultati përkatës i shërbimit. Përfshi në atë zinxhir çdo hartëzim të sipërm ose firewall në re, sepse një rregull lejues atje mund të anashkalojë një rregull lokal të rregullt.

Pastaj ndaj dy detyrimet. Nëse administrimi duhet të bëhet vetëm përmes VPN, zbatoje atë si në rrugën publike ashtu edhe në atë të tunelit, duke mbajtur një rrugë rikuperimi të miratuar. Monitorimi i një përpjekjeje të refuzuar nuk është e njëjta detyrë me vendosjen se çfarë duhet të pranojë serveri.

Një rregull gjeografik ose një protokoll i bllokuar pa lidhje nuk e zëvendëson gjetjen e shënimit të vëzhguar dhe të vendimit që mori. As një VPN: drejtimi i trafikut dalës përmes një tuneli nuk dokumenton asgjë për autorizimin hyrës.