Alarmet e hyrjes në VPN nuk janë alarme ndërhyrjeje: vëzhgo sesionin
Një hyrje e pazakontë është shkak për rishikim, jo verdikt. Lidh regjistrin e autentikimit me një sesion, pastaj me atë që preku, përpara se ta quash ndërhyrje.
Një alarm VPN që aktivizohet për një vend të ri duket përfundimtar, dhe zakonisht nuk është. Autentikimi thotë se një përpjekje u pranua; sesioni thotë cila lidhje e mbajti; regjistrat e burimeve thonë çfarë ndodhi brenda asaj lidhjeje. Secili përgjigjet një pyetjeje tjetër. Një rregull që i shkrin të tre, prodhon tridhjetë bileta të hënën dhe humb rastin e vërtetë të premten.
Një adresë e huaj është pyetje, jo përgjigje
Udhëtimet, operatorët celularë që dalin në një vend tjetër, një proxy web korporativ dhe një pishinë NAT e nivelit të operatorit e ricaktuar të gjitha lëvizin burimin e dukshëm pa lëvizur sulmuesin. Regjistri i hyrjes pasqyron nga ka hyrë lidhja në rrjet, jo kush e mbante pajisjen.
Dështimi i kundërt është më i keq sepse është i heshtur. Një fjalëkalim i vjedhur i përdorur nga qyteti i vetë përdoruesit prodhon një hyrje që përputhet me çdo hyrje të mëparshme në kontrollin e gjeografisë.
Trajtimi i gjeografisë si verdikt ka një kosto të matshme. Laptopët që udhëtojnë prodhojnë një rrjedhë të qëndrueshme rishikimesh, rishikuesit mësojnë t'i mbyllin pa lexuar, dhe zakoni vazhdon derisa një rast i vërtetë të arrijë në të njëjtën radhë.
Tre lloje regjistrash përgjigjen tre pyetjeve të ndryshme
Filloni nga ajo që produktet e vendosura në të vërtetë lëshojnë, jo nga ajo që sugjeron një broshurë produkti. Vendimi i autentikimit emërton identitetin e pretenduar, metodën dhe rezultatin. Cikli i jetës së sesionit emërton lidhjen, portën dhe adresën e caktuar, nga fillimi deri në ndalim.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Një qelizë bosh është një boshllëk mbledhjeje, jo një shfajësim. Nëse ngjarjet e burimeve nuk mbërrijnë kurrë, mungesa e një leximi të dyshimtë do të thotë që tubacioni nuk ka çfarë të raportojë, dhe një panel i heshtur përshkruan tubacionin, jo rrjetin. Shkruani cilat regjistra prodhon vërtet vendosja përpara se të premtoni një rregull që varet prej tyre, dhe emërtoni pronarin e çdo fluksi që mungon.
Detajet kontabël janë vendi ku sesionet bëhen të verifikueshme. Kontabiliteti RADIUS siç përshkruhet në RFC 2866 mbart përditësime të fillimit, ndalimit dhe të ndërmjetme të lidhura me një identifikues sesioni, kështu që një sesion me fillim dhe pa ndalim është një boshllëk që mund ta emërtoni në vend të një misteri.
Lidhni në sesion, jo në emrin e përdoruesit
Një llogari mban ligjërisht disa sesione njëkohësisht: një laptop, një telefon, një makinë laboratori e lënë e lidhur gjatë natës. Lidhja e çdo ngjarjeje për atë emër përdoruesi shkrin tre pajisje në një histori dhe pastaj e lexon kombinimin si komprometim. Adresat e caktuara riciklohen gjithashtu, kështu që një bashkim që vazhdon të përputhet me një adresë pas përfundimit të sesionit tërheq pajisjen e muajit të kaluar në incidentin e sotëm. Mbani çelësin e sesionit pranë adresës dhe kufizoni përputhjen në dritaren kohore që sesioni mbuloi vërtet.
Aty ku përkthimi heq burimin origjinal përpara se një shërbim ta shohë, përdorni identitetin që mbijeton në atë kufi, si një subjekt TLS i ndërsjellë ose një pohim i hyrjes së vetme. Shpikja e një hartëzimi një-me-një midis një adrese dhe një personi është i njëjti gabim me hapa shtesë.
Një alarm pa pronar është panel
Çdo rregull ka nevojë për një kusht, shpjegimet e padëmshme që e prodhojnë, provat që duhen mbledhur dhe personin që vepron. Një operacion administrativ i refuzuar përsëritur, një shpërthim fjalëkalimesh të dështuara dhe një mbledhës i heshtur janë tre incidente të ndryshme me tre orë të ndryshme.
Njoftimi nuk është izolim, dhe një listë shpërndarjeje nuk kufizon asgjë. Ndryshimi i një sesioni aktiv kërkon komponentin që mund ta bëjë, qoftë porta që e lëshon lidhjen, qoftë ofruesi i identitetit që e anulon sesionin. Flukset e vjetruara dhe regjistrat e ndalimit që mungojnë i përkasin gjithashtu tekstit të rregullit, sepse një mbledhës që nuk ka dërguar asgjë për një ditë duket saktësisht si një rrjet i heshtur nga paneli. Diferenca shihet vetëm në vetë tubacionin.
Kontrolloni rrugën e mbledhjes përpara se t'i besoni një jave të heshtur
Provoni tubacionin nga fillimi në fund përpara se të rregulloni një rregull të vetëm. Komandat më poshtë konfirmojnë që dëgjuesit e autentikimit dhe kontabilitetit janë aktivë, që një kredencial testimi refuzohet për arsyen e duhur dhe që ngjarjet e sesionit vazhdojnë të mbërrijnë:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Një Access-Reject nga testi provon që kërkesa arriti në server dhe që sekreti i përbashkët përputhej, dhe kjo është pjesa që njerëzit e kapërcejnë. Një afat kohor në vend të kësaj tregon sekretin, dëgjuesin ose një filtër përpara tij, dhe çdo alarm në rrjedhën e poshtme është i paverifikueshëm derisa të rregullohet.
Gjendja e orës ka rëndësi sepse dritaret e korrelacionit supozojnë marrëveshje. Një portë që devijon me minuta e bën një bashkim sesioni ndryshe të pastër të duket i pamundur, dhe rishikuesit kompensojnë duke zgjeruar dritaren derisa bashkimi të ndalojë së dalluari. Kontrolloni devijimin përpara se të redaktoni rregullin.
Pastaj kaloni një rregull në një test të padëmshëm: gjeneroni një hyrje nga një adresë e papritur, konfirmoni që alarmi aktivizohet, konfirmoni që reaguesi mund të nxjerrë sesionin dhe ngjarjet e tij të burimeve, dhe konfirmoni që bileta mbart identifikuesin e sesionit. Një rregull që prodhon një histori koherente kalon. Një rregull që prodhon një grumbull rreshtash regjistri është ende një panel. Regjistroni rezultatin pranë rregullit që rishikimi i radhës të fillojë me prova, jo me intuicion.