VPN giriş uyarıları ihlal uyarıları değildir: oturumu izleyin
Olağandışı bir giriş, bir inceleme nedenidir, hüküm değil. Kimlik doğrulama kaydını bir oturuma, sonra oturumun dokunduğu şeye bağlayın; ancak ondan sonra ihlal deyin.
Yeni bir ülke için tetiklenen VPN uyarısı kesin görünür ve genellikle değildir. Kimlik doğrulama bir denemenin kabul edildiğini söyler; oturum hangi bağlantının onu taşıdığını söyler; kaynak kayıtları o bağlantının içinde ne olduğunu söyler. Her biri farklı bir soruyu yanıtlar. Üçünü birleştiren bir kural pazartesi otuz bilet üretir ve cuma gerçek vakayı kaçırır.
Yabancı bir adres sorudur, yanıt değil
Seyahat, başka bir ülkede çıkış yapan mobil operatörler, kurumsal bir web proxy ve yeniden tahsis edilmiş bir carrier-grade NAT havuzu hepsi görünen kaynağı taşır ama saldırganı taşımaz. Giriş kaydı bağlantının ağa nereden girdiğini yansıtır, cihazı kimin tuttuğunu değil.
Ters hata daha kötüdür çünkü sessizdir. Kullanıcının kendi şehrinden kullanılan çalınmış bir parola, coğrafya kontrolünde önceki her girişle eşleşen bir giriş üretir.
Coğrafyayı hüküm olarak ele almanın ölçülebilir bir maliyeti vardır. Seyahat eden dizüstü bilgisayarlar istikrarlı bir inceleme akışı üretir, inceleyiciler onları okumadan kapatmayı öğrenir ve bu alışkanlık gerçek bir vaka aynı kuyruğa gelene kadar sürer.
Üç kayıt türü üç farklı soruyu yanıtlar
Dağıtılmış ürünlerin gerçekte ne yaydığıyla başlayın, ürün broşürünün ne yayabileceğini ima etmesiyle değil. Kimlik doğrulama kararı iddia edilen kimliği, yöntemi ve sonucu adlandırır. Oturum yaşam döngüsü bağlantıyı, ağ geçidini ve atanan adresi başlangıçtan durmaya kadar adlandırır.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Boş hücre bir toplama boşluğudur, aklanma değil. Kaynak olayları hiç gelmezse, şüpheli bir okumanın yokluğu ardışık düzenin bildirecek bir şeyi olmadığı anlamına gelir ve sessiz bir panel ağı değil, ardışık düzeni anlatır. Onlara bağlı bir kural vaat etmeden önce dağıtımın gerçekte hangi kayıtları ürettiğini yazın ve eksik her akışın sahibini adlandırın.
Muhasebe ayrıntıları oturumların denetlenebilir hale geldiği yerdir. RFC 2866 içinde tanımlanan RADIUS muhasebesi, bir oturum tanımlayıcısına bağlı başlangıç, durma ve ara güncellemeleri taşır; bu yüzden başlangıcı olup durması olmayan bir oturum gizem değil, ad verebileceğiniz bir boşluktur.
Kullanıcı adına değil, oturuma bağlayın
Bir hesap meşru olarak aynı anda birkaç oturum tutar: bir dizüstü, bir telefon, gece boyunca bağlı bırakılmış bir laboratuvar makinesi. O kullanıcı adı için her olayı birleştirmek üç cihazı tek bir hikâyede eritir ve sonra birleşimi ihlal olarak okur. Atanan adresler de geri dönüştürülür; bu yüzden oturum bittikten sonra da bir adresle eşleşmeye devam eden bir birleştirme geçen ayın cihazını bugünün olayına sürükler. Oturum anahtarını adresin yanında tutun ve eşleşmeyi oturumun gerçekte kapsadığı zaman penceresiyle sınırlayın.
Çevirinin özgün kaynağı bir hizmet görmeden önce kaldırdığı yerde, o sınırda hayatta kalan kimliği kullanın; örneğin karşılıklı TLS öznesi veya tek oturum açma iddiası. Bir adres ile bir kişi arasında bire bir eşleme uydurmak, fazladan adımlarla aynı hatadır.
Sahibi olmayan uyarı bir paneldir
Her kuralın bir koşula, onu üreten zararsız açıklamalara, toplanacak kanıtlara ve harekete geçen kişiye ihtiyacı vardır. Tekrarlanan reddedilmiş bir yönetim işlemi, başarısız parola patlaması ve sessiz bir toplayıcı, üç farklı saatle üç farklı olaydır.
Bildirim kapsama değildir ve bir dağıtım listesi hiçbir şeyi kısıtlamaz. Canlı bir oturumu değiştirmek bunu yapabilen bileşeni gerektirir; ister bağlantıyı düşüren ağ geçidi, ister oturumu iptal eden kimlik sağlayıcı olsun. Eski akışlar ve eksik durma kayıtları da kural metnine aittir, çünkü bir gün boyunca hiçbir şey göndermemiş bir toplayıcı panelden tam olarak sessiz bir ağ gibi görünür. Fark yalnızca ardışık düzenin kendisinde görünür.
Sessiz bir haftaya güvenmeden önce toplama yolunu denetleyin
Tek bir kuralı ayarlamadan önce ardışık düzeni uçtan uca kanıtlayın. Aşağıdaki komutlar kimlik doğrulama ve muhasebe dinleyicilerinin çalıştığını, test kimliğinin doğru nedenle reddedildiğini ve oturum olaylarının hâlâ geldiğini doğrular:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Testten gelen Access-Reject, isteğin sunucuya ulaştığını ve paylaşılan sırrın eşleştiğini kanıtlar; insanların atladığı kısım budur. Bunun yerine zaman aşımı sırra, dinleyiciye veya önündeki bir filtreye işaret eder ve aşağıdaki her uyarı bu düzeltilene kadar doğrulanamaz.
Saat durumu önemlidir çünkü korelasyon pencereleri anlaşmayı varsayar. Birkaç dakika sapan bir ağ geçidi, aksi halde temiz bir oturum birleştirmesini olanaksız gösterir ve inceleyiciler pencereyi genişleterek telafi eder, ta ki birleştirme ayrım yapmayı bırakana kadar. Kuralı düzenlemeden önce sapmayı denetleyin.
Sonra bir kuralı zararsız bir testten geçirin: beklenmedik bir adresten giriş üretin, uyarının tetiklendiğini doğrulayın, yanıt verenin oturumu ve kaynak olaylarını çekebildiğini doğrulayın ve biletin oturum tanımlayıcısını taşıdığını doğrulayın. Tutarlı bir hikâye üreten kural geçer. Bir yığın günlük satırı üreten kural hâlâ bir paneldir. Sonucu kuralın yanına kaydedin ki sonraki inceleme sezgiden değil kanıttan başlasın.