Ang mga alerto sa pag-log in sa VPN ay hindi alerto sa panghihimasok: bantayan ang session
Ang kakaibang pag-sign in ay dahilan para sa pagsusuri, hindi hatol. Ikabit ang talaan ng pagpapatunay sa isang session, pagkatapos sa kung ano ang nahawakan nito, bago ito tawaging panghihimasok.
Ang alerto ng VPN na tumutunog para sa bagong bansa ay tila tiyak, at kadalasan ay hindi. Sinasabi ng pagpapatunay na may tangkang tinanggap; sinasabi ng session kung aling koneksyon ang nagdala nito; sinasabi ng mga talaan ng mapagkukunan kung ano ang nangyari sa loob ng koneksyong iyon. Bawat isa ay sumasagot sa ibang tanong. Ang patakarang pinagsasama ang tatlo ay gumagawa ng tatlumpung tiket tuwing Lunes at nakakaligtaan ang tunay na kaso tuwing Biyernes.
Ang banyagang address ay tanong, hindi sagot
Ang paglalakbay, mga mobile carrier na lumalabas sa ibang bansa, isang corporate web proxy at isang muling inilaan na carrier-grade NAT pool ay inililipat ang maliwanag na pinagmulan nang hindi inililipat ang umaatake. Ang talaan ng pag-log in ay nagpapakita kung saan pumasok ang koneksyon sa network, hindi kung sino ang may hawak ng device.
Ang kabaligtarang kabiguan ay mas malala dahil tahimik ito. Ang ninakaw na password na ginamit mula sa lungsod ng mismong gumagamit ay gumagawa ng pag-log in na tumutugma sa bawat dating pag-log in sa pagsusuri ng heograpiya.
Ang pagtrato sa heograpiya bilang hatol ay may nasusukat na halaga. Ang mga lumalakbay na laptop ay gumagawa ng tuloy-tuloy na daloy ng mga pagsusuri, natututo ang mga tagasuri na isara ang mga ito nang hindi binabasa, at nananatili ang ugali hanggang sa may tunay na kaso na dumating sa parehong pila.
Tatlong uri ng talaan ang sumasagot sa tatlong magkakaibang tanong
Magsimula sa aktwal na inilalabas ng mga naka-deploy na produkto, hindi sa ipinahihiwatig ng brosyur ng produkto. Pinangalanan ng desisyon sa pagpapatunay ang inaangking pagkakakilanlan, ang paraan at ang resulta. Pinangalanan ng ikot ng buhay ng session ang koneksyon, ang gateway at ang itinalagang address, mula simula hanggang paghinto.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Ang walang laman na cell ay puwang sa pagkolekta, hindi pagpapawalang-sala. Kung hindi kailanman dumarating ang mga kaganapan sa mapagkukunan, ang kawalan ng kahina-hinalang pagbasa ay nangangahulugang wala ang pipeline na maiuulat, at ang tahimik na dashboard ay naglalarawan ng pipeline, hindi ng network. Isulat kung aling mga talaan ang aktwal na ginagawa ng deployment bago mangako ng patakarang nakadepende sa mga ito, at pangalanan ang may-ari ng bawat nawawalang feed.
Ang mga detalye ng accounting ang lugar kung saan nagiging masusuri ang mga session. Ang accounting ng RADIUS na inilarawan sa RFC 2866 ay nagdadala ng mga update sa simula, paghinto at pansamantala na nakakabit sa isang identifier ng session, kaya ang session na may simula at walang paghinto ay puwang na maaari mong pangalanan sa halip na hiwaga.
Ikabit sa session, hindi sa username
Ang isang account ay lehitimong may hawak ng ilang session nang sabay: isang laptop, isang telepono, isang makina sa laboratoryo na iniwang nakakabit magdamag. Ang pagsasama ng bawat kaganapan para sa username na iyon ay natutunaw ang tatlong device sa isang kuwento at pagkatapos ay binabasa ang kombinasyon bilang kompromiso. Ang mga itinalagang address ay nire-recycle din, kaya ang pagsasamang patuloy na tumutugma sa isang address pagkatapos matapos ang session ay humihila ng device ng nakaraang buwan sa insidente ngayon. Itago ang key ng session sa tabi ng address at limitahan ang pagtutugma sa window ng oras na aktwal na sinakop ng session.
Kung saan tinatanggal ng pagsasalin ang orihinal na pinagmulan bago ito makita ng isang serbisyo, gamitin ang pagkakakilanlang nananatili sa hangganang iyon, gaya ng mutual TLS subject o assertion ng single sign-on. Ang pag-imbento ng isa-sa-isang pagtutugma sa pagitan ng address at tao ay parehong pagkakamali na may dagdag na hakbang.
Ang alerto na walang may-ari ay dashboard
Bawat patakaran ay nangangailangan ng kondisyon, ang mga hindi nakakapinsalang paliwanag na gumagawa nito, ang ebidensyang kukunin at ang taong kumikilos. Ang paulit-ulit na tinanggihang administratibong operasyon, isang pagsabog ng mga nabigong password at isang tahimik na kolektor ay tatlong magkakaibang insidente na may tatlong magkakaibang orasan.
Ang abiso ay hindi pagpigil, at ang listahan ng pamamahagi ay walang pinaghihigpitan. Ang pagbabago ng buhay na session ay nangangailangan ng bahaging makakagawa nito, maging ang gateway na nagtatanggal ng koneksyon o ang provider ng pagkakakilanlan na nagbabasura ng session. Ang mga lipas na feed at nawawalang talaan ng paghinto ay kabilang din sa teksto ng patakaran, dahil ang kolektor na walang ipinadala sa loob ng isang araw ay mukhang tahimik na network mula sa dashboard. Ang pagkakaiba ay makikita lamang sa pipeline mismo.
Suriin ang landas ng pagkolekta bago magtiwala sa tahimik na linggo
Patunayan ang pipeline mula simula hanggang dulo bago i-tune ang kahit isang patakaran. Kinukumpirma ng mga utos sa ibaba na buhay ang mga tagapakinig ng pagpapatunay at accounting, na tinatanggihan ang kredensyal ng pagsubok sa tamang dahilan at na dumarating pa rin ang mga kaganapan ng session:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Ang Access-Reject mula sa pagsubok ay nagpapatunay na nakarating ang kahilingan sa server at tumugma ang ibinahaging lihim, at iyon ang bahaging nilalaktawan ng mga tao. Ang timeout sa halip ay tumuturo sa lihim, sa tagapakinig o sa filter sa harap nito, at ang bawat alerto sa ibaba ay hindi maaaring i-verify hanggang sa maayos iyon.
Mahalaga ang estado ng orasan dahil ipinapalagay ng mga window ng ugnayan ang pagkakasundo. Ang gateway na lumihis ng ilang minuto ay nagpapakitang imposible ang isang malinis na pagsasama ng session, at binabayaran ito ng mga tagasuri sa pamamagitan ng pagpapalawak ng window hanggang tumigil ang pagsasama sa pagkilala. Suriin ang paglihis bago i-edit ang patakaran.
Pagkatapos ay patakbuhin ang isang patakaran sa isang hindi nakakapinsalang pagsubok: gumawa ng pag-log in mula sa hindi inaasahang address, kumpirmahin na tumutunog ang alerto, kumpirmahin na makukuha ng tumutugon ang session at ang mga kaganapan nito sa mapagkukunan, at kumpirmahin na dala ng tiket ang identifier ng session. Ang patakarang gumagawa ng magkakaugnay na kuwento ay pumasa. Ang patakarang gumagawa ng bunton ng mga linya ng log ay dashboard pa rin. Itala ang resulta sa tabi ng patakaran upang ang susunod na pagsusuri ay magsimula sa ebidensya at hindi sa kutob.