Snort ที่ขอบ VPN: จุดที่มองเห็นแพ็กเก็ต

ติดตามคำขอหนึ่งรายการจากแล็ปท็อปเครื่องระยะไกล แล้วมันจะข้ามขอบเขตหลายชั้นก่อนที่สิ่งใดจะตรวจสอบมันได้ อุโมงค์ชั้นนอกสิ้นสุดที่โปรเซส VPN แพ็กเก็ตชั้นในปรากฏบนอินเทอร์เฟซ และเซสชัน HTTPS ที่อยู่ข้างในดำเนินต่อไปยังแอปพลิเคชัน เครื่องมือตรวจสอบเห็นเพียงสิ่งที่มองเห็น ณ จุดที่แพ็กเก็ตไปถึงมัน ติดตั้งโดยไม่กำหนดจุดนั้น แล้วบันทึกจะอธิบายเลเยอร์ผิด

แพ็กเก็ตหนึ่งรายการข้ามขอบเขตหลายชั้น

ก่อนการสิ้นสุด VPN ผู้สังเกตเห็นการเชื่อมต่อชั้นนอกหนึ่งรายการ โดยทั่วไปไปยังพอร์ต VPN มีที่อยู่และขนาดแต่ไม่มีโครงสร้างภายใน หลังการสิ้นสุด ที่อยู่ พอร์ต และโปรโตคอลภายในจะพร้อมใช้ ณ จุดประมวลผลที่ส่งต่อสิ่งเหล่านั้น TLS ของแอปพลิเคชันเองยังคงถูกเข้ารหัส เว้นแต่การออกแบบแยกส่วนจะสิ้นสุดมัน สิ่งเหล่านี้คือสามระดับของการมองเห็น และชื่อแพ็กเกจไม่ได้บอกคุณว่าคุณซื้อระดับใด

วาดเส้นทางโดยทำเครื่องหมายขอบเขต แล้ววางเซนเซอร์บนเส้นที่สามารถตอบคำถามได้ เพราะตำแหน่งเป็นส่วนหนึ่งของคำตอบ ขอบเขตที่คุณเรียกชื่อไม่ได้คือขอบเขตที่คุณทดสอบไม่ได้

ดูว่าจุดใดอ่านอะไรได้บ้าง

ตรวจสอบอินเทอร์เฟซและแคปเจอร์สั้น ๆ ก่อนเชื่อคำอธิบายสถาปัตยกรรมใด ๆ

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

รายการลิงก์แสดง อุโมงค์และอินเทอร์เฟซทางกายภาพที่มีอยู่ และแคปเจอร์แสดงสิ่งที่เซนเซอร์ที่เชื่อมต่อตรงนั้นจะได้รับอย่างแม่นยำ หากมันแสดงที่อยู่ภายในแต่ไม่มีบรรทัดคำขอ HTTP คุณอยู่หลังการสิ้นสุด VPN และยังอยู่นอก TLS ของแอปพลิเคชัน นั่นคือตำแหน่งปกติสำหรับการตรวจจับเครือข่ายและตำแหน่งที่ผิดสำหรับการตรวจเนื้อหา ทำแคปเจอร์ซ้ำบนอินเทอร์เฟซชั้นนอกเพื่อเปรียบเทียบว่าขอบเขตอีกด้านเปิดเผยอะไร

การตรวจจับแบบพาสซีฟบล็อกเองไม่ได้

เอกสารการตรวจสอบของ Snort แยกการสังเกตแบบพาสซีฟออกจากการทำงานในสาย โหมดพาสซีฟสามารถแจ้งเตือนเกี่ยวกับทราฟฟิกโดยไม่หยุดมันบนเส้นทางนั้น

snort -T -c /etc/snort/snort.lua

โหมดทดสอบตรวจสอบการกำหนดค่าโดยไม่รันเซนเซอร์ ซึ่งเป็นขั้นตอนแรกที่ถูกต้องก่อนการติดตั้งใช้งานใด ๆ การทำงานในสายต้องมีการจัดเตรียมการดักจับแพ็กเก็ตที่เข้ากันได้และการกำหนดค่าการบังคับใช้ที่สอดคล้อง ไม่ใช่เพียงแฟล็กเพิ่มเติม ดังนั้นบันทึกในล็อกจึงไม่ใช่หลักฐานว่าคำขอถูกป้องกัน และโปรเซสที่เริ่มด้วยตัวเลือกที่ดูเหมือนโหมดในสายไม่ได้พิสูจน์ว่ากระแสที่ส่งต่อจริงผ่านมันไป ยืนยันว่าการติดตั้งใช้งานส่งต่อแพ็กเก็ตจริงที่ใด

เลือกโหมดบังคับใช้ก่อนติดตั้งใช้งาน

ตัดสินใจว่าข้อกำหนดคือการมองเห็นหรือการป้องกัน เพราะทั้งสองมีพฤติกรรมเมื่อล้มเหลวต่างกัน เซนเซอร์พาสซีฟที่ตายจะปล่อยให้ทราฟฟิกไหลต่อไปและสร้างช่องว่างในการเฝ้าระวัง อุปกรณ์ในสายที่ตายอาจปล่อยทราฟฟิกผ่านหรือหยุดมัน และการเลือกนั้นต้องเป็นเจตนา ตกลงเรื่องกระแสที่อนุญาตหนึ่งกระแส กระแสที่ต้องปฏิเสธหนึ่งกระแส และพฤติกรรมที่คุณต้องการเมื่อเซนเซอร์ล้มเหลว แยกการกู้คืนการจัดการออกจากเส้นทางที่ตรวจสอบ เพื่อให้ข้อผิดพลาดในเซนเซอร์ไม่ตัดสิทธิ์การเข้าถึงของคุณด้วย

จากนั้นบันทึกทราฟฟิกที่มองเห็น จุดประมวลผล และพฤติกรรมการบังคับใช้ ข้อเท็จจริงสามข้อนี้ ไม่ใช่แพ็กเกจที่ติดตั้ง อธิบายสิ่งที่การติดตั้งใช้งานทำจริง