Snort на ивици VPN-а: где су пакети видљиви

Пратите један захтев са удаљеног преносног рачунара и он пролази кроз неколико граница пре него што било шта може да га прегледа. Спољашњи тунел се завршава у VPN процесу, унутрашњи пакет се појављује на интерфејсу, а HTTPS сесија унутра наставља до апликације. Алат за преглед види само оно што је видљиво у тачки у којој пакети до њега долазе. Инсталирајте га без одлуке о тој тачки, и дневници ће описати погрешан слој.

Један пакет прелази неколико граница

Пре завршетка VPN-а посматрач види једну спољашњу везу, обично ка VPN порту, са адресама и величинама али без унутрашње структуре. После завршетка унутрашње адресе, портови и протоколи доступни су у оној тачки обраде која их предаје. Сопствени TLS апликације остаје шифрован ако га засебан дизајн не заврши. То су три нивоа видљивости, а назив пакета не говори који сте купили.

Нацртајте путању са означеним границама, затим поставите сензор на линију на којој се може одговорити на питање, јер је место део одговора. Граница коју не можете да именујете је граница коју не можете да тестирате.

Погледајте шта је читљиво у свакој тачки

Проверите интерфејс и кратак снимак пре него што поверујете било ком опису архитектуре.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Списак веза приказује постојеће тунеле и физичке интерфејсе, а снимак приказује тачно шта би примио сензор повезан тамо. Ако приказује унутрашње адресе али не редове HTTP захтева, налазите се после завршетка VPN-а и још увек изван TLS-а апликације. То је уобичајено место за мрежно откривање и погрешно место за преглед садржаја. Поновите снимак на спољашњем интерфејсу да упоредите шта друга граница открива.

Пасивно откривање не може само да блокира

Snort документација за преглед одваја пасивно посматрање од рада у линији. Пасивни режим може да упозори на саобраћај без заустављања на тој путањи.

snort -T -c /etc/snort/snort.lua

Режим тестирања проверава конфигурацију без покретања сензора, што је исправан први корак пре сваког распоређивања. Рад у линији захтева компатибилно уређење за хватање пакета и одговарајућу конфигурацију примене, а не само додатну заставицу. Зато запис у дневнику није доказ да је захтев спречен, а процес покренут са опцијом налик на рад у линији не доказује да стварни прослеђени ток пролази кроз њега. Потврдите где имплементација заправо предаје пакете.

Изаберите режим примене пре распоређивања

Одлучите да ли је захтев видљивост или спречавање, јер оба носе различито понашање при отказу. Пасивни сензор који престане да ради оставља саобраћај да тече и ствара празнину у надзору; уређај у линији који престане да ради може да пропусти саобраћај или да га заустави, и тај избор мора бити намеран. Договорите један дозвољени ток, један ток који мора да се одбије и понашање које желите када сензор откаже. Држите опоравак управљања одвојено од прегледане путање, да вам грешка у сензору не одузме и приступ.

Затим запишите видљив саобраћај, тачку обраде и понашање примене. Те три чињенице, а не инсталирани пакет, описују шта распоређивање заиста ради.