Cili proces VPN preket nga ai gjetje dobësie?

Rezultati i një skaneri emërton një adresë, një port dhe diçka që u negociua atje. Ai nuk emërton procesin pas atij socket, dhe në një host VPN disa procese mund të ndajnë makinën ndërsa vetëm njëri prej tyre është tuneli. Leximi i një vargu versioni nga një mjet anësor ose gjetja e një skedari biblioteke në disk shton prova për hostin, jo për dëgjuesin. Gjetja bëhet e zbatueshme vetëm kur lidhet me një komponent në punë dhe më pas krahasohet me fushëveprimin që një njoftim deklaron në të vërtetë.

Rendi ka rëndësi: së pari komponenti, së dyti njoftimi, së treti korrigjimi.

Raporti emërton një port, jo një program

Filloni nga pika përfundimtare që u vlerësua vërtet. Një sondë kundër portit të administrimit HTTPS mati shërbimin web, pirgun e tij TLS dhe çdo proxy përpara tij; ajo nuk mësoi asgjë për dëgjuesin OpenVPN ose WireGuard në një port tjetër. Proxyt e kundërta dhe agjentët e menaxhimit e përkeqësojnë këtë, sepse certifikata dhe banner-i mund t’i përkasin pjesës së përparme ndërsa biblioteka e dobët qëndron pas saj në një proces backend.

Regjistroni destinacionin, transportin, portin dhe emrin e shërbimit bashkë me rezultatin, që fushëveprimi të udhëtojë me gjetjen.

Çfarë është në të vërtetë ndërtimi në punë

Në një host me qëllim të përgjithshëm, paketa e instaluar dhe biblioteka e ngarkuar janë dy pyetje të ndryshme. Një bazë të dhënash paketash mund të listojë një version të rregulluar ndërsa një demon afatgjatë mban ende objektin e vjetër të përbashkët në memorie, dhe një imazh i pajisjes i paketuar mund të mbajë bibliotekat e veta që asnjë menaxher paketash nuk i raporton. Pyetni menaxherin e shërbimeve çfarë po punon, pastaj inspektoni procesin dhe lidhjet e tij.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Ora e fillimit në listën e proceseve është detaji që njerëzit e kapërcejnë. Një demon i nisur përpara përditësimit të fundit të paketave ende ekzekuton ndërtimin që ngarkoi në nisje, dhe ky është pikërisht rasti kur inventari thotë i rregulluar dhe socket-i thotë diçka tjetër.

Përputhja e ndërtimit me fushëveprimin e një njoftimi

Njoftimet përshkruajnë produkte, versione dhe ndonjëherë kushte të kërkuara, dhe këto tre fusha nuk përputhen gjithmonë me versionin e një pakete. Njoftimi i OpenVPN për Heartbleed nga prilli 2014 është një shembull historik i dobishëm, sepse i ndan lëshimet e prekura të Access Server nga shërbimet web dhe demonët VPN, të cilët kishin ekspozim të ndryshëm. Mësimi është të lexoni cilin komponent mbulon teksti, në vend që ta përputhni fjalën OpenSSL sipas modelit.

Ai njoftim është gjithashtu i vjetëruar. Numrat e tij të lëshimit të rregulluar nuk janë më këshillë instalimi, dhe një defekt i rregulluar në 2014 nuk thotë asgjë për problemet e mëvonshme në degën që ekzekutoni sot.

Zgjidhja e mospajtimit, pastaj mbyllja e ekspozimit

Kur inventari dhe vlerësimi nuk përputhen, kontrolloni nëse të dy përshkruajnë të njëjtën pikë përfundimtare dhe të njëjtin mjedis ekzekutimi: një adresë tjetër, një proxy frontal, një shërbim i dytë, një proces i vjetër ende i lidhur me portin, ose një bibliotekë e paketuar që menaxheri i paketave nuk e ka parë kurrë. Zgjidheni atë në kufi përpara se të rishkruani një raport.

Aplikoni korrigjimin e mbështetur, rinisni shërbimin e prekur dhe konfirmoni se ndërtimi i ri është ai që po punon tani. Një skedar i rregulluar në disk ndërsa procesi i vjetër ende shërben trafikun nuk është korrigjim.

Pastaj trajtoni atë që komponenti mund të kishte mbajtur gjatë dritares së ekspozimit. Rregullimi dhe zëvendësimi i kredencialeve u përgjigjen pyetjeve të ndryshme, dhe një certifikatë e ruajtur pranë hostit të prekur nuk është në vetvete një listë e asaj që rrjedhi. Ndiqni procedurën e pronarit të incidentit për anulim, heqje sesionesh dhe përditësime klientësh, dhe regjistroni cili komponent u prek, pse provat zbatoheshin dhe çfarë e mbylli. Ai regjistër është ai që një rishikim i mëvonshëm do të lexojë.