RDP کلائنٹ بدل دیتا ہے: ڈیٹا بیس دوسرا ہوسٹ کیوں دیکھتا ہے

آپ کا VPN قاعدہ ڈیٹا بیس کو مسترد کرتا ہے اور ٹکٹ فائر وال کی خرابی کے طور پر بند ہو جاتا ہے، جبکہ وہی صارف شائع شدہ ڈیسک ٹاپ کھول کر اُس ڈیٹا بیس سے بغیر کسی دقت کے استفسار کرتا ہے۔ دونوں بیانات درست ہیں۔ ڈیسک ٹاپ دوسرا کلائنٹ ہے، جس کا اپنا پتہ اُس حصے میں ہے جس پر قواعد پہلے ہی بھروسہ کرتے ہیں، اور آگے جڑتے وقت اُس کی اپنی شناخت بھی ہے۔ متضاد قاعدہ لگنے والی چیز عام طور پر دوسری درخواست ہوتی ہے جسے کسی نے جائزے میں شامل نہیں کیا۔

دوسری درخواست کا اپنا کلائنٹ پتہ ہے

جب سیشن کے اندر کوئی اطلاقیہ ڈیٹا بیس سے رابطہ کھولتا ہے تو TCP مصافحہ سیشن ہوسٹ پر شروع ہوتا ہے۔ اُس کا ماخذ پتہ اُسی ہوسٹ کے نیٹ ورک کا ہے، اس لیے راستے میں ہر راؤٹر اور ڈیٹا بیس فائر وال آپ کے لیپ ٹاپ والے سرنگ کے تالاب کے بجائے ڈیسک ٹاپ کے حصے کا جائزہ لیتا ہے۔ VPN کا پتہ اُس بہاؤ میں کبھی نظر نہیں آتا۔ یہی وجہ ہے کہ ماخذ پر مبنی انکار کا قاعدہ بیک وقت درست اور غیر متعلق ہو سکتا ہے۔

ماخذ کو لیپ ٹاپ سے نہیں، سیشن کے اندر سے پڑھیں، پھر اُسی جگہ سے آگے کا راستہ جانچیں۔ دونوں جوابات کو اس بات پر متفق ہونا چاہیے کہ کون سا ہوسٹ درخواست کر رہا ہے۔

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

سیشن جو بتاتا ہے اُس کا موازنہ اُس پتے سے کریں جو ڈیٹا بیس نے اُسی وقت کے لیے درج کیا تھا۔ جب سرور لاگ سرنگ کے تالاب کے بجائے ڈیسک ٹاپ کا ذیلی نیٹ ورک دکھائے تو سوال یہ نہیں رہتا کہ قاعدہ چلا یا نہیں، بلکہ یہ ہو جاتا ہے کہ کس ہوسٹ نے درخواست کی۔ یہ دوسرے مالک کی دوسری تفتیش ہے۔

شناخت بھی پتوں کے ساتھ بدلتی ہے

آگے کا رابطہ عام طور پر سیشن کے ٹوکن، محفوظ شدہ اسناد یا اطلاقیے کے سروس اکاؤنٹ کے طور پر تصدیق ہوتا ہے، اور وسیلہ وہ درج کرتا ہے جو اُسے دیا گیا۔ اس لیے ڈیٹا بیس پر سروس اکاؤنٹ دکھانے والا آڈٹ ریکارڈ ثابت نہیں کرتا کہ استفسار کسی انسان نے چلایا۔ وہ اُس انسان کی شناخت بھی نہیں کرتا۔ صرف ڈیسک ٹاپ کا اپنا سیشن لاگ اُن دو ریکارڈوں کو جوڑتا ہے۔

اجازت دو بار ہوتی ہے، اور دوسرا فیصلہ مختلف ان پٹ سے لیا جاتا ہے۔ پہلا کسی نامزد صارف کو ڈیسک ٹاپ میں داخلہ دیتا ہے، جبکہ دوسرا وہ دیتا ہے جو اُس صارف کا ٹوکن یا اطلاقیے کا اکاؤنٹ وسیلے کے ساتھ کر سکتا ہے۔ ہیلپ ڈیسک کا وہ گروہ جو ڈیسک ٹاپ کھول سکتا ہے خود بخود وہ گروہ نہیں ہوتا جو گاہک کا جدول پڑھ سکتا ہے۔

رسائی کا نوٹ لکھنے سے پہلے ٹوکن اور تفویض کا راستہ دیکھیں۔ دونوں سیشن کے اندر سے نظر آتے ہیں، اور یہی واحد جگہ ہے جہاں جواب اندازہ نہیں ہوتا۔

whoami /groups
klist
query session

اگر اطلاقیہ سروس اکاؤنٹ استعمال کرتا ہے تو آگے اُسی کے حقوق اہم ہیں۔ اُن اسناد کو بدلنا رسائی کے جائزے کا حصہ ہے، بعد کی عملی سوچ کا نہیں۔

براہ راست راستہ اب بھی اور درست طور پر کیوں بند ہے

انکار کا قاعدہ صرف اس لیے غلط نہیں کہ منزل تک دوسرے راستے سے پہنچا جا سکتا ہے۔ تقسیم کا جائزہ ہر ماخذ کے حساب سے ہوتا ہے، اور ڈیسک ٹاپ اُس حصے میں ہے جسے کسی کے اِسے ڈیٹا بیس کا راستہ سمجھنے سے بہت پہلے اجازت دی گئی تھی۔ کسی چیز نے پالیسی کو نظرانداز نہیں کیا۔ پالیسی صرف دو مختلف نتائج والے دو مختلف ماخذ بیان کرتی ہے۔

جائزے کو یہ بتانا ہے کہ اُس ہوسٹ پر ہر مجاز سیشن کیا شروع کر سکتا ہے۔ محفوظ سیشن والے براؤزر، منسلک ڈرائیو، اسناد رکھنے والے ایجنٹ اور مقامی طور پر سننے والی خدمات سب ڈیسک ٹاپ کی رسائی بڑھاتے ہیں، اور اِن میں سے کوئی بھی اُس ٹکٹ میں نظر نہیں آتا جس نے داخلہ دیا۔ وہی فہرست اصل اجازت کی سطح ہے۔

اِسے اسپریڈ شیٹ سے نہیں، آزمائشی سیشن کے اندر سے گنیں۔ چند احکام سطح کا بیشتر حصہ ڈھانپ لیتے ہیں۔

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

حد کو جان بوجھ کر چنیں

تین شکلیں مختلف کاموں کے لیے موزوں ہیں، اور انتخاب کو کام کی پیروی کرنی چاہیے، اتفاق سے موجود اوزار کی نہیں۔ شائع شدہ اطلاقیہ اپنی اجازتوں والا ایک پروگرام دکھاتا ہے، مکمل ڈیسک ٹاپ وہ سب دکھاتا ہے جو صارف کا پروفائل کر سکتا ہے، اور ماخذ کی قید والا تنگ ڈیٹا بیس اکاؤنٹ بغیر کسی ڈیسک ٹاپ کے ایک وسیلہ دکھاتا ہے۔ سب سے تنگ شکل جو کام اب بھی مکمل کرتی ہے وہی دستاویز کرنے کے قابل ہے۔ اِس سے زیادہ وسیع کسی چیز کے ساتھ وجہ لکھی ہونی چاہیے۔

ایک رپورٹ کے لیے، شائع شدہ اطلاقیہ یا محدود اکاؤنٹ عمومی ڈیسک ٹاپ سے چھوٹی اجازت ہے۔ جس دیکھ بھال کو واقعی کئی اوزار چاہیے اُس میں ڈیسک ٹاپ درست ہو سکتا ہے، لیکن پھر منظوری ایک اطلاقیے کا نہیں، پورے ہوسٹ کا بیان ہوتی ہے۔ وسیلے کے مالک سے پوچھیں کہ اِن میں سے کس پر وہ متفق ہیں۔

ڈیٹا کی حرکت ایک الگ سوئچ ہے۔ کلپ بورڈ، ڈرائیو کی ری ڈائریکشن اور ڈاؤن لوڈ کمپنی کا ڈیٹا کلائنٹ تک لے جا سکتے ہیں، اور اطلاقیہ دور سے چلانا بذات خود ڈیٹا کو دور نہیں رکھتا۔

دونوں منظوریاں اور ہٹانے کا راستہ جانچیں

ریکارڈ میں دو منظوریاں آتی ہیں: ڈیسک ٹاپ تک پہنچنے اور اُسے کھولنے کا حق، اور اُس کے اندر سے وسائل استعمال کرنے کا حق۔ ہر ایک کے لیے مالک کا نام دیں اور دوسری کو ہر اُس شخص کے لیے نظر آنے والی رکھیں جو وسیلے کا جائزہ لیتا ہے۔ آڈیٹر اُسی دوسرے اندراج کے بارے میں پوچھے گا، کیونکہ وہ داخلے کا نہیں، رسائی کا بیان ہے۔ تبدیلی منظور ہونے سے پہلے دونوں لکھیں، پہلے واقعے کے بعد نہیں۔

پھر ہٹانے کی جانچ کریں، کیونکہ منقطع سیشن اپنی وجہ سے زیادہ عرصہ زندہ رہ سکتا ہے۔ سیشن کا جدول یہ دیکھنے کی تیز ترین جگہ ہے کہ اب بھی کیا چل رہا ہے۔

query session
query user
qwinsta /server:rdsh01.corp.internal

کلائنٹ منقطع کرنے سے دور دراز سیشن چلتا رہتا ہے، اور اُس کے نیٹ ورک کنکشن اور محفوظ شدہ اسناد اُس سیشن کے ختم ہونے تک قابل استعمال رہ سکتے ہیں۔ سائن آؤٹ کریں، یا سیشن واضح طور پر ختم کریں، اور تصدیق کریں کہ اِس کے بعد نیچے کا شمار کنندہ آگے بڑھنا بند کر دیتا ہے۔ صرف لیپ ٹاپ کا ڈھکن بند کرنے والی ہٹانے کی جانچ کچھ ثابت نہیں کرتی۔ وہی جانچ ایک بار اکاؤنٹ غیر فعال کر کے اور ایک بار ڈیسک ٹاپ کی اجازت ہٹا کر کریں، پھر ہر صورت میں وسیلے نے کیا لاگ کیا، لکھیں۔