Nessus преко VPN-а: где поставити скенер пре првог скенирања

Икона VPN-а поред прегледача не говори ништа о процесу који шаље пакете скенирања. Ако конзола и скенер раде на различитим хостовима, тунел прегледача је један пут, а извор скенирања други. Почните од тачке извршавања, а затим идите ка споља: рута, ауторизација и акредитиве. Та разлика није случајно прва на списку.

Ово је контролна листа пре покретања, а не водич за скенирање. Сваки корак даје чињеницу коју можете уписати у запис о послу пре него што иједан пакет напусти скенер.

Прва провера: пронађите процес који шаље сонде

Нацртајте три улоге јасно: прегледач на преносном рачунару A, конзолу за скенирање на хосту B и приватни циљ C. Ако B покреће и мотор за скенирање, прегледачу треба само пут до B. Ако посао обавља засебан скенер-уређај, том уређају треба пут до C.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Прегледач повезан са VPN-ом може достићи конзолу док скенер иза њега још нема руту до C. Могуће је и обрнуто: скенер је унутар приватне мреже, а конзола је удаљена. Откријте коју поставку стварно покрећете пре него што промените било коју мрежну контролу. Именујте уређај у конфигурацији скенирања пре него што оптужите мрежу.

Ако скенер ради на A, хост прегледача и скенер деле контекст, али само док тај процес задржава исти именски простор и исту табелу усмеравања. Контејнер или сервисни налог можда не наслеђује оно што види интерактивни прегледач. Конзола је управљачко сучеље, а не мотор за скенирање.

Друга провера: докажите руту и DNS скенера

Проверу руте извршите на хосту скенера, не на преносном рачунару. Питајте језгро које би сучеље и који приступник употребило за адресу циља, па то поновите за име хоста циља. Рута која постоји за IP и име које се разрешава на другу адресу две су различите грешке.

Потврдите изворну адресу која ће се појавити на циљу. VPN клијент може доделити адресу различиту од оне коју очекује заштитни зид циља, а NAT уређај је може поново преписати. Власнику циља треба запажени извор, а не адреса исписана у VPN профилу.

Проверите и повратни пут. Скенер који достигне циљ, али не прима одговоре, има проблем са усмеравањем или заштитним зидом на повратном путу, а то изгледа једнако као недоступан циљ.

Трећа провера: исходујте ауторизацију обима и гледишта

Нека власник циља писано наведе системе, услуге, окружење, извор и временски оквир. Одлучите које гледиште процена представља: спољни VPN корисник, одобрени интерни клијент или одређени сегмент скенера.

Приватна рута није дозвола за тестирање суседних мрежа. Држите списак циљева уским, наведите искључене системе и договорите услове заустављања и контакт који може прекинути извођење. Скенер ће радо испитати све до чега може доћи, и управо зато обим мора бити изричит.

Запишите одобрени извор у исти документ. Ако се запажени извор скенера разликује од одобреног, извођење не представља договорено гледиште, чак и када је списак циљева исправан.

Четврта провера: ускладите акредитиве са дубином процене

Провера доступности и аутентификована процена различити су тестови. Одговор порта доказује да је нешто одговорило; не доказује да су спроведене провере са акредитивима ни да је апликација ауторизовала налог.

Наменске акредитиве употребите само кад договорени обим захтева аутентификоване провере. Потврдите дозволе и политику закључавања налога те одлучите како ће се налази чувати и делити пре него што их скенирање произведе.

Ако акредитиве не успеју, немојте тихо прећи на неаутентификовано извођење ни назвати извештај планираном проценом. Резултат је други тест са другим значењем, а та разлика припада у извештај.

Пета провера: сачувајте план, па затим свесно покрените

У радном току скенирања у Nessus-у избор шаблона, конфигурисање подешавања те чување или покретање скенирања одвојени су кораци. Искористите ту одвојеност за преглед списка циљева, извора и распореда пре него што почне било какав саобраћај.

Пре него што ауторизујете покретање, проверите који извор VPN допушта, који саобраћај носи и како се опоравља од прекинутог тунела. Не проширујте приступ кроз заштитни зид само зато што је прелиминарна веза неуспела; пронађите слој који ју је одбио и поправите тај слој.

Након извођења запишите хост скенера, његов запажени извор, списак циљева и све провере које није било могуће довршити. Извештај израђен са другог извора или без предвиђених акредитива не представља изворни план, а рећи то део је испоруке.

Повуците приступ за посао и са сачуваним резултатима поступајте према договореном процесу. Контролна листа довршена је тек кад докази одговарају путу који сте одобрили, а не кад је скенирање једноставно вратило резултате.