Papasok na alerto sa isang VPN server: basahin ang punto ng pagmamasid

Ang isang server sa likod ng VPN ay nagtatago ng mga pampublikong entry ng serbisyo nito, at patuloy na nahahanap ng mga tao ang mga ito. Ang dumarating sa pila ng alerto ay hindi isang natuklasan kundi tatlong posible, at magkaiba ang ibig sabihin ng mga ito. Ang unang gawain ay ihiwalay ang nakalantad na serbisyo sa nakalantad na kredensyal.

Daanan ang mga punto ng pagmamasid nang sunod-sunod. Huminto kapag nagbago ang kategorya ng ebidensya, dahil ibang tanong ang sinasagot ng susunod na yugto.

Unang yugto: ano talaga ang nakita ng pagkuha

Ang pagkuha ng packet ay nagtatala ng nakita sa sarili nitong punto sa landas. Maaaring nasa harap ng susunod na desisyon sa pagsasala ang puntong iyon. Pinatutunayan ng nahuling packet na nakarating doon ang trapiko. Wala itong pinatutunayan tungkol sa nangyari pagkatapos.

Pansinin din ang interface. Ang pagkuha sa pampublikong adapter at ang pagkuha sa loob ng tunnel ay naglalarawan ng magkaibang punto ng pagdating, at ang alertong sumipi sa maling punto ay humahantong sa maling konklusyon.

Nagsasala rin ang Windows sa ilang antas ng stack, kaya ang maayos na modelo kung saan ang tool sa pagkuha ay nasa ikalawang antas at ang firewall sa ikatlo ay hindi nakakaligtas kapag hinarap ang isang tunay na produkto. Inilalarawan ng pangkalahatang-tanaw ng Windows Filtering Platform ang pagsasala sa mga antas ng stack, kaya ang pagkakasunod-sunod ng pagmamasid ay dapat itatag at hindi ipagpalagay.

Ikalawang yugto: ano ang itinatag ng talaan ng pagtutol

Sinasabi ng talaan ng pagtutol na tinanggihan ng hangganan ng patakaran ang packet na iyon. Malakas itong ebidensya. Kitid din ito, dahil saklaw nito ang isang desisyon sa isang hangganan. Wala nang iba sa stack ang inilalarawan nito.

Ihanay ayon sa tuple at timestamp. Parehong pinagmulan, parehong destinasyon, parehong port, sa loob ng parehong segundo. Kung wala ang tugmang iyon, ang kahawig na pangyayari sa ibang log ay isa lamang pang pangyayari, at ang pagsasama sa kanila ay gumagawa ng kuwentong walang makapagtatanggol.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Ang saradong port at ang tinanggihang packet ay magkapareho sa labas at lubos na magkaiba sa dalawang output na ito. Ang pagkakaibang iyon ang buong dahilan upang basahin ang lokal na talaan.

Ikatlong yugto: ano ang pinatutunayan ng pangyayari sa pagpapatotoo

Sinasabi ng pangyayari sa pagpapatotoo na pinroseso ng isang bahagi ang kahilingan nang sapat upang magtala ng resulta. Ito lamang sa tatlong yugto ang nagsasalita tungkol sa pagkakakilanlan, at wala itong sinasabi tungkol sa kung ilang packet ang dumating bago nito.

Basahin ang tunay na konteksto ng pangyayari. Ang bigong pag-login para sa account na wala ay ingay mula sa pag-scan. Ang bigong pag-login para sa tunay na account na may makatwirang pinagmulan ay ibang priyoridad. Ang matagumpay na sesyon ay lubos na ibang kategorya ng insidente.

Pansinin din ang mga pangalan ng protocol. Ang RPC at RDP ay magkaibang serbisyo na may magkaibang port. Ang detektor na sumusubaybay sa isa sa kanila ay hindi saklaw ang isa. Hindi laging sinasabi ng mga tool na nagbubuod ng aktibidad sa network kung alin sa dalawa ang gumawa ng pangyayari.

Isang naihanay na sample ang daig ang dashboard

Pumili ng isang awtorisadong pagsubok, sadyang patakbuhin ito, at subaybayan mula simula hanggang wakas: patutunguhang address at interface, tunay na address ng pinagmulan, port ng serbisyo, umiiral na profile at tuntunin ng firewall, at ang tugmang resulta ng serbisyo. Isama sa kadena ang anumang upstream na pagmamapa o firewall sa cloud, dahil ang mapagpahintulot na tuntunin doon ay maaaring mangibabaw sa maayos na lokal na tuntunin.

Pagkatapos ay paghiwalayin ang dalawang obligasyon. Kung ang pangangasiwa ay dapat sa pamamagitan lamang ng VPN, ipatupad ito sa pampublikong landas at sa landas ng tunnel habang pinapanatili ang aprubadong ruta ng pagbawi. Ang pagsubaybay sa tinanggihang pagtatangka ay hindi kaparehong gawain ng pagpapasya kung ano ang dapat tanggapin ng server.

Ang tuntuning heograpiko o na-block na walang kaugnayang protocol ay hindi kapalit ng paghahanap sa namasid na entry at sa desisyong natanggap nito. Hindi rin kapalit ang VPN: ang pagruruta ng papalabas na trapiko sa tunnel ay walang naitalang anuman tungkol sa papasok na awtorisasyon.