Упозорења о пријави на VPN нису упозорења о провали: пратите сесију
Необична пријава је повод за преглед, а не пресуда. Повежите запис о аутентификацији са сесијом, а затим са оним што је сесија додирнула, пре него што то назовете провалом.
Упозорење VPN-а које се активира због нове земље делује коначно и обично није. Аутентификација каже да је покушај прихваћен; сесија каже која га је веза носила; записи о ресурсима кажу шта се догодило унутар те везе. Сваки одговара на друго питање. Правило које сва три стапа производи тридесет тикета у понедељак и промашује стварни случај у петак.
Страна адреса је питање, а не одговор
Путовања, мобилни оператери који излазе у другој земљи, корпоративни веб прокси и прераспоређени пул carrier-grade NAT сви померају привидни извор, не померајући нападача. Запис о пријави одражава одакле је веза ушла у мрежу, а не ко је држао уређај.
Обрнути неуспех је гори јер је тих. Украдена лозинка употребљена из града самог корисника даје пријаву која се у провери географије поклапа са сваком претходном пријавом.
Третирање географије као пресуде има мерљиву цену. Лаптопови који путују стварају сталан ток прегледа, прегледачи уче да их затварају без читања, и навика траје док стварни случај не стигне у исти ред.
Три типа записа одговарају на три различита питања
Почните од онога што распоређени производи заиста емитују, а не од онога што брошура производа сугерише. Одлука о аутентификацији именује тврђени идентитет, метод и резултат. Животни циклус сесије именује везу, мрежни пролаз и додељену адресу, од почетка до заустављања.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Празна ћелија је празнина у прикупљању, а не ослобађање. Ако догађаји о ресурсима никад не стигну, одсуство сумњивог читања значи да цевовод нема шта да пријави, а тиха табла описује цевовод, а не мрежу. Запишите које записе распоређивање заиста ствара пре него што обећате правило које од њих зависи, и именујте власника сваког тока који недостаје.
Рачуноводствени детаљи су место где сесије постају проверљиве. RADIUS рачуноводство описано у RFC 2866 носи ажурирања почетка, заустављања и средња, повезана са идентификатором сесије, па је сесија са почетком и без заустављања празнина коју можете именовати уместо загонетке.
Повезујте по сесији, а не по корисничком имену
Један налог законито држи неколико сесија истовремено: лаптоп, телефон, лабораторијска машина остављена повезана преко ноћи. Повезивање сваког догађаја за то корисничко име стапа три уређаја у једну причу и затим чита комбинацију као компромитацију. Додељене адресе се такође рециклирају, па веза која наставља да се поклапа са адресом после завршетка сесије вуче уређај прошлог месеца у данашњи инцидент. Држите кључ сесије поред адресе и ограничите поклапање на временски прозор који је сесија стварно покривала.
Тамо где превод уклања изворни извор пре него што га услуга види, користите идентитет који преживљава на тој граници, попут субјекта узајамног TLS-а или тврдње јединствене пријаве. Измишљање пресликавања један-на-један између адресе и особе је иста грешка са додатним корацима.
Обавештење без власника је табла
Свако правило захтева услов, безопасна објашњења која га стварају, доказе које треба прикупити и особу која делује. Поновљена одбијена административна операција, излив неуспешних лозинки и тихи сакупљач три су различита инцидента са три различита сата.
Обавештење није задржавање и листа за дистрибуцију ништа не ограничава. Промена живе сесије захтева компоненту која то може, било мрежни пролаз који одбацује везу, било добављач идентитета који опозива сесију. Застарели токови и записи о заустављању који недостају такође припадају тексту правила, јер сакупљач који дан није послао ништа изгледа са табле тачно као тиха мрежа. Разлика је видљива само у самом цевоводу.
Проверите пут прикупљања пре него што поверите тихој недељи
Докажите цевовод од почетка до краја пре него што подесите иједно правило. Команде испод потврђују да су слушаоци аутентификације и рачуноводства активни, да се пробни акредитив одбија из правог разлога и да догађаји сесије још пристижу:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject из теста доказује да је захтев стигао до сервера и да се заједничка тајна поклопила, а то је део који људи прескачу. Истек времена уместо тога указује на тајну, слушаоца или филтер испред њега, и свако обавештење низводно је непроверљиво док се то не поправи.
Стање сата је важно јер корелациони прозори претпостављају сагласност. Мрежни пролаз који одступа неколико минута чини иначе чисту везу сесије немогућом, а прегледачи то надокнађују ширењем прозора док веза не престане да разликује. Проверите одступање пре уређивања правила.
Затим провуците једно правило кроз безопасан тест: генеришите пријаву са неочекиване адресе, потврдите да се обавештење активира, потврдите да особа која реагује може да извуче сесију и њене догађаје о ресурсима, и потврдите да тикет носи идентификатор сесије. Правило које производи кожерентну причу пролази. Правило које производи гомилу редова дневника и даље је табла. Запишите резултат поред правила да следећи преглед почне од доказа, а не од интуиције.