การแจ้งเตือนการเข้าสู่ระบบ VPN ไม่ใช่การแจ้งเตือนการบุกรุก: จับตาดูเซสชัน
การลงชื่อเข้าใช้ที่ผิดปกติเป็นเหตุให้ตรวจสอบ ไม่ใช่คำตัดสิน เชื่อมโยงบันทึกการพิสูจน์ตัวตนกับเซสชัน แล้วจึงเชื่อมกับสิ่งที่เซสชันนั้นแตะต้อง ก่อนจะเรียกว่าการบุกรุก
การแจ้งเตือน VPN ที่ดังขึ้นเมื่อมีประเทศใหม่ดูเหมือนเป็นข้อสรุป และโดยปกติก็ไม่ใช่ การพิสูจน์ตัวตนบอกว่ามีความพยายามหนึ่งที่ถูกยอมรับ เซสชันบอกว่าการเชื่อมต่อใดเป็นตัวพามัน บันทึกทรัพยากรบอกว่าเกิดอะไรขึ้นภายใน การเชื่อมต่อนั้น แต่ละอย่างตอบคำถามคนละข้อ กฎที่รวมทั้งสามเข้าด้วยกันจะสร้างตั๋วสามสิบใบในวันจันทร์ และพลาดเคสจริงในวันศุกร์
ที่อยู่ต่างประเทศคือคำถาม ไม่ใช่คำตอบ
การเดินทาง ผู้ให้บริการมือถือที่ออกสู่ต่างประเทศ พร็อกซีเว็บขององค์กร และพูล NAT ระดับผู้ให้บริการที่ถูกจัดสรรใหม่ ล้วนย้ายแหล่งที่มาที่เห็นได้ โดยไม่ย้ายผู้โจมตี บันทึกการเข้าสู่ระบบสะท้อนว่าการเชื่อมต่อเข้ามาในเครือข่ายจากที่ใด ไม่ใช่ใครถืออุปกรณ์อยู่
ความล้มเหลวแบบตรงข้ามแย่กว่าเพราะมันเงียบ รหัสผ่านที่ถูกขโมยและใช้จากเมืองของผู้ใช้เองจะสร้างการเข้าสู่ระบบที่ตรงกับการเข้าสู่ระบบครั้งก่อน ๆ ทั้งหมดในการตรวจสอบภูมิศาสตร์
การมองภูมิศาสตร์เป็นคำตัดสินมีต้นทุนที่วัดได้ แล็ปท็อปที่เดินทางสร้างกระแสการตรวจสอบอย่างต่อเนื่อง ผู้ตรวจสอบเรียนรู้ที่จะปิดโดยไม่อ่าน และนิสัยนั้นคงอยู่จนกว่าเคสจริงจะมาถึงคิวเดียวกัน
บันทึกสามชนิดตอบคำถามสามข้อที่ต่างกัน
เริ่มจากสิ่งที่ผลิตภัณฑ์ที่ติดตั้งไว้ส่งออกจริง ไม่ใช่จากสิ่งที่โบรชัวร์ผลิตภัณฑ์บอกเป็นนัยว่าอาจส่งได้ การตัดสินใจพิสูจน์ตัวตนระบุตัวตนที่อ้างสิทธิ์ วิธีการ และผลลัพธ์ วงจรชีวิตของเซสชันระบุการเชื่อมต่อ เกตเวย์ และที่อยู่ที่จัดสรร ตั้งแต่เริ่มจนหยุด
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
ช่องว่างในตารางคือช่องโหว่ของการเก็บข้อมูล ไม่ใช่การพ้นผิด หากเหตุการณ์ทรัพยากรไม่เคยมาถึง การไม่มีอยู่ของการอ่านที่น่าสงสัยหมายความว่าไปป์ไลน์ไม่มีอะไรจะรายงาน และแดชบอร์ดที่เงียบสงบกำลังอธิบายไปป์ไลน์ ไม่ใช่เครือข่าย จดบันทึกว่าการติดตั้งสร้างบันทึกใดจริง ๆ ก่อนสัญญาว่าจะมีกฎที่ขึ้นกับมัน และระบุเจ้าของทุกฟีดที่หายไป
รายละเอียดด้านบัญชีคือจุดที่เซสชันกลายเป็นสิ่งที่ตรวจสอบได้ การบัญชี RADIUS ตามที่อธิบายใน RFC 2866 พาข้อมูลอัปเดตการเริ่ม หยุด และระหว่างทางที่ผูกกับตัวระบุเซสชัน ดังนั้นเซสชันที่มีจุดเริ่มแต่ไม่มีจุดหยุดจึงเป็นช่องโหว่ที่คุณตั้งชื่อได้ ไม่ใช่ปริศนา
เชื่อมด้วยเซสชัน ไม่ใช่ด้วยชื่อผู้ใช้
บัญชีหนึ่งถือหลายเซสชันพร้อมกันได้อย่างชอบธรรม แล็ปท็อป โทรศัพท์ และเครื่องแล็บที่เปิดเชื่อมต่อทิ้งไว้ข้ามคืน การเชื่อมทุกเหตุการณ์ของชื่อผู้ใช้นั้นจะหลอมอุปกรณ์สามเครื่องเป็นเรื่องเดียว แล้วอ่านการรวมกันนั้นว่าเป็นการถูกเจาะ ที่อยู่ที่จัดสรรก็ถูกนำกลับมาใช้ใหม่ ดังนั้นการเชื่อมที่ไม่หยุดจับคู่กับที่อยู่แม้หลังเซสชันจบจะลากอุปกรณ์ของเดือนที่แล้วเข้ามาในเหตุการณ์วันนี้ เก็บคีย์เซสชันไว้ข้างที่อยู่ และจำกัดการจับคู่ให้อยู่ในช่วงเวลาที่เซสชันครอบคลุมจริง
ในที่ที่การแปลตัดแหล่งที่มาดั้งเดิมออกก่อนที่บริการจะเห็น ให้ใช้ตัวตนที่ยังหลงเหลืออยู่ ณ ขอบเขตนั้น เช่น หัวข้อ TLS แบบสองทาง หรือข้อความยืนยันการลงชื่อเข้าใช้ครั้งเดียว การประดิษฐ์การจับคู่หนึ่งต่อหนึ่งระหว่างที่อยู่กับบุคคลคือความผิดพลาดเดิมที่มีขั้นตอนเพิ่ม
การแจ้งเตือนที่ไม่มีเจ้าของคือแดชบอร์ด
ทุกกฎต้องมีเงื่อนไข คำอธิบายที่ไม่มีพิษภัยซึ่งทำให้เกิดกฎนั้น หลักฐานที่ต้องเก็บ และคนที่ลงมือปฏิบัติ การดำเนินการทางปกครองที่ถูกปฏิเสธซ้ำ ๆ การทะลักของรหัสผ่านที่ล้มเหลว และตัวเก็บข้อมูลที่เงียบ คือสามเหตุการณ์ที่ต่างกันด้วยนาฬิกาสามเรือน
การแจ้งเตือนไม่ใช่การกักกัน และรายชื่อผู้รับไม่จำกัดอะไรเลย การเปลี่ยนเซสชันที่ยังมีชีวิตต้องอาศัยองค์ประกอบที่ทำได้ ไม่ว่าจะเป็นเกตเวย์ที่ตัดการเชื่อมต่อ หรือผู้ให้บริการตัวตนที่เพิกถอนเซสชัน ฟีดที่เก่าและบันทึกการหยุดที่หายไปก็เป็นส่วนหนึ่งของข้อความกฎ เพราะตัวเก็บข้อมูลที่ไม่ส่งอะไรเลยเป็นเวลาหนึ่งวันดูเหมือนเครือข่ายที่เงียบสงบทุกประการจากแดชบอร์ด ความแตกต่างมองเห็นได้เฉพาะในไปป์ไลน์เอง
ตรวจเส้นทางการเก็บข้อมูลก่อนเชื่อสัปดาห์ที่เงียบสงบ
พิสูจน์ไปป์ไลน์ตั้งแต่ต้นจนจบก่อนปรับกฎแม้แต่ข้อเดียว คำสั่งด้านล่างยืนยันว่าตัวรับฟังการพิสูจน์ตัวตนและการบัญชีทำงานอยู่ ข้อมูลรับรองสำหรับทดสอบถูกปฏิเสธด้วยเหตุผลที่ถูกต้อง และเหตุการณ์เซสชันยังคงมาถึง:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject จากการทดสอบพิสูจน์ว่าคำขอไปถึงเซิร์ฟเวอร์และความลับร่วมตรงกัน และนั่นคือส่วนที่คนข้ามไป การหมดเวลากลับชี้ไปที่ความลับ ตัวรับฟัง หรือตัวกรองที่อยู่ข้างหน้า และการแจ้งเตือนใด ๆ ด้านล่างจะตรวจสอบไม่ได้จนกว่าจะแก้ไข
สถานะของนาฬิกาสำคัญเพราะหน้าต่างสหสัมพันธ์ตั้งสมมติฐานว่าตรงกัน เกตเวย์ที่คลาดไปหลายนาทีทำให้การเชื่อมเซสชันที่สะอาดอยู่แล้วดูเป็นไปไม่ได้ และผู้ตรวจสอบชดเชยด้วยการขยายหน้าต่างจนกว่าการเชื่อมจะเลิกแยกความต่าง ตรวจสอบค่าคลาดก่อนแก้ไขกฎ
จากนั้นนำกฎหนึ่งข้อเข้าสู่การทดสอบที่ไม่เป็นอันตราย สร้างการเข้าสู่ระบบจากที่อยู่ที่ไม่คาดคิด ยืนยันว่าการแจ้งเตือนดังขึ้น ยืนยันว่าผู้ตอบสนองดึงเซสชันและเหตุการณ์ทรัพยากรของมันได้ และยืนยันว่าตั๋วมีตัวระบุเซสชัน กฎที่สร้างเรื่องราวที่สอดคล้องกันผ่าน กฎที่สร้างกองบรรทัดบันทึกยังคงเป็นแดชบอร์ด บันทึกผลลัพธ์ไว้ข้างกฎ เพื่อให้การตรวจสอบครั้งต่อไปเริ่มจากหลักฐานไม่ใช่จากสัญชาตญาณ