VPN kenarında Snort: paketlerin göründüğü yer

Uzak bir dizüstü bilgisayardan tek bir isteği izleyin; herhangi bir şey onu inceleyebilmeden önce birkaç sınırı geçer. Dış tünel VPN sürecinde biter, iç paket bir arayüzde görünür ve içerideki HTTPS oturumu uygulamaya kadar devam eder. Bir inceleme aracı yalnızca paketlerin kendisine ulaştığı noktada görüneni görür. O noktayı belirlemeden bir tane kurun, günlükler yanlış katmanı anlatır.

Bir paket birkaç sınırı geçer

VPN sonlandırmasından önce gözlemci bir dış bağlantı görür, genellikle VPN bağlantı noktasına, adresler ve boyutlarla ama iç yapı olmadan. Sonlandırmadan sonra iç adresler, bağlantı noktaları ve protokoller onları devreden işleme noktasında kullanılabilir. Uygulamanın kendi TLS'i ayrı bir tasarım onu sonlandırmadıkça şifreli kalır. Bunlar üç görünürlük düzeyidir ve paket adı hangisini satın aldığınızı söylemez.

Yolu sınırları işaretleyerek çizin, sonra sensörü sorunun yanıtlanabildiği hatta yerleştirin, çünkü konum yanıtın bir parçasıdır. Adlandıramadığınız bir sınır, test edemediğiniz bir sınırdır.

Her noktada neyin okunabildiğine bakın

Mimarinin herhangi bir tanımına güvenmeden önce arayüzü ve kısa bir kaydı denetleyin.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Bağlantı listesi mevcut tünelleri ve fiziksel arayüzleri gösterir ve kayıt oraya bağlı bir sensörün tam olarak ne alacağını gösterir. İç adresleri gösterip HTTP istek satırlarını göstermiyorsa, VPN sonlandırmasından sonrasınız ve hâlâ uygulamanın TLS'i dışındasınız. Bu, ağ algılaması için normal yerdir ve içerik incelemesi için yanlış yerdir. Diğer sınırın neyi açığa çıkardığını karşılaştırmak için kaydı dış arayüzde yineleyin.

Pasif algılama tek başına engelleyemez

Snort'un inceleme belgeleri pasif gözlemi hat üzeri çalışmadan ayırır. Pasif mod, trafiği o yolda durdurmadan uyarabilir.

snort -T -c /etc/snort/snort.lua

Test modu, sensörü çalıştırmadan yapılandırmayı doğrular ve bu, herhangi bir dağıtımdan önce doğru ilk adımdır. Hat üzeri çalışma, uyumlu bir paket yakalama düzeni ve buna karşılık gelen uygulama yapılandırması gerektirir, yalnızca ek bir bayrak değil. Bu nedenle bir günlük kaydı, bir isteğin engellendiğinin kanıtı değildir ve hat üzeri gibi görünen bir seçenekle başlatılan bir süreç, gerçekten iletilen akışın ondan geçtiğini kanıtlamaz. Uygulamanın paketleri gerçekte nerede devrettiğini doğrulayın.

Dağıtımdan önce uygulama modunu seçin

Gereksinimin görünürlük mü yoksa önleme mi olduğuna karar verin, çünkü ikisinin hata davranışı farklıdır. Ölen pasif sensör trafiğin akmasına izin verir ve bir izleme boşluğu yaratır; ölen hat üzeri cihaz trafiği geçirebilir veya durdurabilir ve bu seçim kasıtlı olmalıdır. Bir izin verilen akış, bir reddedilmesi gereken akış ve sensör başarısız olduğunda istediğiniz davranış üzerinde anlaşın. Yönetim kurtarmasını incelenen yoldan ayrı tutun, böylece sensördeki bir hata erişiminizi de kaldırmasın.

Sonra görünen trafiği, işleme noktasını ve uygulama davranışını kaydedin. Kurulu paket değil, bu üç gerçek dağıtımın gerçekte ne yaptığını anlatır.