Tahadhari ya kuingia kwenye seva ya VPN: soma sehemu ya uangalizi

Seva iliyo nyuma ya VPN huhifadhi maingizo yake ya huduma za umma, na watu wanaendelea kuyapata. Kinachofika kwenye foleni ya tahadhari si ugunduzi mmoja bali uwezekano wa tatu, na humaanisha mambo tofauti. Kazi ya kwanza ni kutenganisha huduma iliyofichuliwa na taarifa za kuingia zilizofichuliwa.

Pitia sehemu za uangalizi kwa mpangilio. Acha pale ushahidi unapobadilisha kategoria, kwa sababu hatua inayofuata hujibu swali lingine.

Hatua ya kwanza: kile ukamataji ulichokiona kwa kweli

Ukamataji wa pakiti husajili kile kilichoonekana mahali pake mwenyewe kwenye njia. Sehemu hiyo inaweza kuwa kabla ya uamuzi wa uchujaji wa baadaye. Pakiti iliyokamatwa huthibitisha kuwa trafiki ilifika hapo. Haithibitishi chochote kuhusu kile kilichotokea baadaye.

Angalia pia kiolesura. Ukamataji kwenye adapta ya umma na ukamataji ndani ya handaki huelezea sehemu tofauti za kuwasili, na tahadhari inayotaja sehemu isiyo sahihi hupelekea hitimisho lisilo sahihi.

Windows pia huchuja katika tabaka kadhaa za stack, kwa hivyo mtindo nadhifu ambapo chombo cha ukamataji kinakaa tabaka la pili na firewall tabaka la tatu haustahimili kukutana na bidhaa halisi. Muhtasari wa Windows Filtering Platform unaelezea uchujaji katika tabaka za stack, ndiyo sababu mpangilio wa uangalizi unapaswa kuthibitishwa badala ya kudhaniwa.

Hatua ya pili: kile rekodi ya kuzuiwa inathibitisha

Rekodi ya kuzuiwa husema kuwa mpaka wa sera ulikataa pakiti hiyo. Ni ushahidi madhubuti. Pia ni ushahidi mwembamba, kwa sababu unashughulikia uamuzi mmoja kwenye mpaka mmoja. Hakuna kingine kwenye stack kinachoelezwa nayo.

Linganisha kwa tuple na muhuri wa muda. Chanzo kilekile, lengo lilekile, lango lilekile, ndani ya sekunde ileile. Bila mlinganyo huo, tukio linalofanana kwenye kumbukumbu nyingine ni tukio lingine tu, na kuziunganisha hutoa hadithi ambayo hakuna anayeweza kuitetea.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Lango lililofungwa na pakiti iliyokataliwa huonekana sawa kutoka nje na tofauti kabisa katika matokeo haya mawili. Tofauti hiyo ndiyo sababu yote ya kusoma kumbukumbu ya ndani.

Hatua ya tatu: kile tukio la uthibitishaji linathibitisha

Tukio la uthibitishaji husema kuwa sehemu fulani ilichakata ombi hadi kufikia kusajili matokeo. Ni hatua pekee kati ya tatu zinazozungumza kuhusu utambulisho, na haisemi chochote kuhusu pakiti ngapi zilizofika kabla yake.

Soma muktadha halisi wa tukio. Kuingia kushindikana kwa akaunti isiyokuwepo ni kelele kutoka kwa uchanganuzi. Kuingia kushindikana kwa akaunti halisi na chanzo kinachowezekana ni kipaumbele tofauti. Kikao kilichofanikiwa ni kategoria tofauti kabisa ya tukio.

Angalia pia majina ya itifaki. RPC na RDP ni huduma tofauti zenye lango tofauti. Kigunduzi kinachofuatilia moja haikizi kingine. Zana zinazofupisha shughuli za mtandao hazitaji kila mara ni kipi kati ya hivyo viwili kilizalishe tukio.

Sampuli moja iliyolinganishwa hushinda dashibodi

Chagua jaribio moja lililoidhinishwa, liendeshe kwa makusudi, na ulifuatilie mwanzo hadi mwisho: anwani ya lengo na kiolesura, anwani halisi ya chanzo, lango la huduma, wasifu na kanuni ya firewall inayotumika, na matokeo ya huduma yanayolingana. Jumuisha upangaji wowote wa juu au firewall ya wingu kwenye mnyororo huo, kwa sababu kanuni inayoruhusu huko inaweza kupindua kanuni nadhifu ya ndani.

Kisha tenganisha majukumu mawili. Ikiwa usimamizi unapaswa kuwa wa VPN pekee, tekeleza hilo kwenye njia ya umma na ile ya handaki huku ukihifadhi njia ya urejeshaji iliyoidhinishwa. Kufuatilia jaribio lililokataliwa si kazi sawa na kuamua kile seva inapaswa kukubali.

Kanuni ya kijiografia au itifaki isiyohusiana iliyozuiwa si mbadala wa kupata maingizo yaliyoonekana na uamuzi iliyopokea. VPN pia si mbadala: kuelekeza trafiki ya kutoka kupitia handaki hakuandiki chochote kuhusu idhini ya kuingia.