Snort në skajin e VPN: ku paketat janë të dukshme

Ndiqni një kërkesë të vetme nga një laptop i largët dhe ajo kalon disa kufij përpara se diçka ta inspektojë. Tuneli i jashtëm përfundon në procesin e VPN, paketa e brendshme shfaqet në një ndërfaqe dhe sesioni HTTPS brenda vazhdon deri në aplikacion. Një mjet inspektimi sheh vetëm atë që është e dukshme në pikën ku paketat e arrijnë. Instaloni një pa vendosur atë pikë dhe regjistrat do të përshkruajnë shtresën e gabuar.

Një paketë kalon disa kufij

Para përfundimit të VPN vëzhguesi sheh një lidhje të jashtme, zakonisht drejt portës së VPN, me adresa dhe madhësi por pa strukturë të brendshme. Pas përfundimit, adresat, portat dhe protokollet e brendshme janë të disponueshme në atë pikë përpunimi që i dorëzon. TLS i vetë aplikacionit mbetet i kriptuar nëse një dizajn i veçantë nuk e përfundon. Këto janë tre nivele dukshmërie, dhe emri i një pakete nuk ju thotë cilën keni blerë.

Vizatoni rrugën me kufijtë të shënuar, pastaj vendosni sensorin në vijën ku pyetjes mund t'i përgjigjet, sepse vendndodhja është pjesë e përgjigjes. Një kufi që nuk mund ta emërtoni është një kufi që nuk mund ta provoni.

Shihni çfarë është e lexueshme në çdo pikë

Kontrolloni ndërfaqen dhe një regjistrim të shkurtër përpara se t'i besoni çdo përshkrimi të arkitekturës.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Lista e lidhjeve tregon tunelet dhe ndërfaqet fizike ekzistuese, dhe regjistrimi tregon saktësisht çfarë do të merrte një sensor i lidhur atje. Nëse tregon adresa të brendshme por asnjë rresht kërkese HTTP, ju jeni pas përfundimit të VPN dhe ende jashtë TLS të aplikacionit. Ky është vendi normal për zbulimin e rrjetit dhe vendi i gabuar për inspektimin e përmbajtjes. Përsëritni regjistrimin në ndërfaqen e jashtme për të krahasuar çfarë zbulon kufiri tjetër.

Zbulimi pasiv nuk mund të bllokojë vetë

Dokumentacioni i inspektimit të Snort ndan vëzhgimin pasiv nga funksionimi në linjë. Modaliteti pasiv mund të paralajmërojë për trafikun pa e ndalur në atë rrugë.

snort -T -c /etc/snort/snort.lua

Modaliteti i provës vërteton konfigurimin pa ekzekutuar sensorin, që është hapi i parë i saktë para çdo vendosjeje. Funksionimi në linjë kërkon një rregullim të përputhshëm të marrjes së paketave dhe një konfigurim përkatës të zbatimit, jo vetëm një flamur shtesë. Prandaj një hyrje në regjistër nuk është provë që një kërkesë u parandalua, dhe një proces i nisur me një opsion që duket në linjë nuk provon që fluksi real i përcjellë kalon përmes tij. Konfirmoni ku implementimi i dorëzon vërtet paketat.

Zgjidhni modalitetin e zbatimit para vendosjes

Vendosni nëse kërkesa është dukshmëri apo parandalim, sepse të dy kanë sjellje të ndryshme dështimi. Një sensor pasiv që vdes lë trafikun të rrjedhë dhe krijon një boshllëk monitorimi; një pajisje në linjë që vdes mund ta lejojë trafikun të kalojë ose ta ndalojë, dhe kjo zgjedhje duhet të jetë e qëllimshme. Bini dakord për një fluks të lejuar, një fluks që duhet të refuzohet dhe sjelljen që dëshironi kur sensori dështon. Mbani rikuperimin e menaxhimit të ndarë nga rruga e inspektuar, në mënyrë që një gabim në sensor të mos ju heqë edhe aksesin.

Pastaj regjistroni trafikun e dukshëm, pikën e përpunimit dhe sjelljen e zbatimit. Këto tre fakte, jo paketa e instaluar, përshkruajnë çfarë bën në të vërtetë vendosja.