VPN sunucusunda gelen uyarı: gözlem noktasını okuyun

Bir VPN'in arkasındaki sunucu genel hizmet kayıtlarını tutar ve insanlar bunları bulmayı sürdürür. Uyarı kuyruğuna gelen şey tek bir bulgu değil, üç olası bulgudur ve farklı anlamlara gelir. İlk iş, açığa çıkmış bir hizmeti açığa çıkmış bir kimlik bilgisinden ayırmaktır.

Gözlem noktalarını sırayla ele alın. Kanıt kategorisini değiştirdiğinde durun, çünkü sonraki aşama başka bir soruyu yanıtlar.

Birinci aşama: yakalamanın gerçekte ne gördüğü

Paket yakalama, yol üzerindeki kendi noktasında görüneni kaydeder. O nokta daha sonraki bir filtreleme kararından önce yer alabilir. Yakalanan paket, trafiğin oraya ulaştığını kanıtlar. Sonrasında ne olduğu konusunda hiçbir şey kanıtlamaz.

Arayüze de dikkat edin. Genel bağdaştırıcıdaki yakalama ile tünelin içindeki yakalama farklı varış noktalarını tanımlar ve yanlış noktayı aktaran bir uyarı yanlış sonuca götürür.

Windows yığının birkaç katmanında da filtreler, bu yüzden yakalama aracının ikinci katmanda ve güvenlik duvarının üçüncü katmanda durduğu derli toplu model gerçek bir ürünle karşılaştığında ayakta kalmaz. Windows Filtering Platform genel bakışı yığın katmanları arasında filtrelemeyi açıklar, bu yüzden gözlem sırası varsayılmak yerine belirlenmelidir.

İkinci aşama: reddetme kaydının neyi ortaya koyduğu

Reddetme kaydı, bir ilke sınırının o paketi reddettiğini söyler. Bu güçlü bir kanıttır. Aynı zamanda dar bir kanıttır, çünkü tek bir sınırda tek bir kararı kapsar. Yığındaki başka hiçbir şey bununla tanımlanmaz.

Demet ve zaman damgası üzerinden ilişkilendirin. Aynı kaynak, aynı hedef, aynı bağlantı noktası, aynı saniye içinde. Bu eşleşme olmadan, başka bir günlükteki benzer görünen olay yalnızca başka bir olaydır ve ikisini eşleştirmek kimsenin savunamayacağı bir hikâye üretir.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Kapalı bir bağlantı noktası ile düşürülen bir paket dışarıdan aynı görünür ve bu iki çıktıda tamamen farklıdır. O fark, yerel kaydı okumanın tüm nedenidir.

Üçüncü aşama: kimlik doğrulama olayının neyi kanıtladığı

Kimlik doğrulama olayı, bir bileşenin isteği sonuç kaydedecek kadar işlediğini söyler. Üç aşama arasında yalnızca bu kimlikten söz eder ve ondan önce kaç paketin geldiği hakkında hiçbir şey söylemez.

Olayın gerçek bağlamını okuyun. Var olmayan bir hesap için başarısız oturum açma, tarama gürültüsüdür. Makul bir kaynağa sahip gerçek bir hesap için başarısız oturum açma başka bir önceliktir. Başarılı bir oturum tamamen başka bir olay kategorisidir.

Protokol adlarına da dikkat edin. RPC ve RDP ayrı bağlantı noktalarına sahip ayrı hizmetlerdir. Bunlardan yalnızca birini izleyen bir dedektör diğerini kapsamaz. Ağ etkinliğini özetleyen araçlar olayı ikisinden hangisinin ürettiğini her zaman belirtmez.

İlişkilendirilmiş tek bir örnek bir panodan iyidir

Yetkili tek bir test seçin, bilerek çalıştırın ve baştan sona izleyin: hedef adres ve arayüz, gerçek kaynak adres, hizmet bağlantı noktası, geçerli güvenlik duvarı profili ve kuralı ve buna karşılık gelen hizmet sonucu. O zincire varsa üst katman eşlemesini veya bulut güvenlik duvarını da katın, çünkü oradaki izin veren bir kural derli toplu yerel kuralı geçersiz kılabilir.

Sonra iki yükümlülüğü ayırın. Yönetim yalnızca VPN üzerinden olacaksa, onaylanmış bir kurtarma yolu tutarak bunu hem genel yolda hem de tünel yolunda uygulayın. Reddedilen bir denemeyi izlemek, sunucunun neyi kabul etmesi gerektiğine karar vermekle aynı iş değildir.

Coğrafi bir kural veya engellenen ilgisiz bir protokol, gözlenen girdiyi ve aldığı kararı bulmanın yerini tutmaz. VPN de tutmaz: giden trafiği bir tünelden yönlendirmek gelen yetkilendirme hakkında hiçbir şey belgelemez.