RDP klientni o’zgartiradi: nega ma’lumotlar bazasi boshqa hostni ko’radi

VPN qoidangiz ma’lumotlar bazasini rad etadi va chipta firewall nosozligi sifatida yopiladi, ammo o’sha foydalanuvchi nashr etilgan ish stolini ochib, u bazaga hech qanday muammosiz so’rov yuboradi. Ikkala bayonot ham to’g’ri. Ish stoli boshqa klient, qoidalar allaqachon ishonadigan segmentda o’z manziliga ega va oldinga ulanganda o’z shaxsiga ega. Qarama-qarshi qoidaga o’xshab ko’rinadigan narsa odatda hech kim ko’rikka kiritmagan ikkinchi so’rovdir.

Ikkinchi so’rovning o’z klient manzili bor

Sessiya ichidagi dastur ma’lumotlar bazasiga ulanish ochganda, TCP qo’l siqish sessiya hostida boshlanadi. Uning manba manzili o’sha host tarmog’iga tegishli, shuning uchun yo’ldagi har bir router va baza firewali noutbukingiz kelgan tunnel hovuzini emas, ish stoli segmentini baholaydi. VPN manzili bu oqimda hech qachon ko’rinmaydi. Shuning uchun manbaga asoslangan rad etish qoidasi bir vaqtda ham to’g’ri, ham ahamiyatsiz bo’lishi mumkin.

Manbani noutbukdan emas, sessiya ichidan o’qing, so’ng o’sha joydan keyingi yo’lni sinab ko’ring. Ikki javob qaysi host so’rov yuborayotgani borasida kelishishi kerak.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Sessiya xabar bergan narsani baza o’sha vaqt uchun qayd etgan manzil bilan solishtiring. Server jurnali tunnel hovuzi o’rniga ish stoli quyi tarmog’ini ko’rsatsa, savol qoida ishga tushdimi deganidan chiqib, qaysi host so’rov yubordi deganiga aylanadi. Bu boshqa egasi bo’lgan boshqa tekshiruv.

Shaxs ham manzil bilan birga o’zgaradi

Keyingi ulanish odatda sessiya tokeni, saqlangan hisob ma’lumotlari yoki dasturning xizmat hisobi sifatida autentifikatsiya qilinadi va resurs o’ziga berilganini qayd etadi. Shuning uchun bazada xizmat hisobini ko’rsatuvchi audit izi so’rovni inson bajarganini isbotlamaydi. U o’sha insonni ham aniqlamaydi. Faqat ish stolining o’z sessiya jurnali bu ikki yozuvni bog’laydi.

Avtorizatsiya ikki marta sodir bo’ladi va ikkinchi qaror boshqa kirishlar bilan qabul qilinadi. Birinchisi nomlangan foydalanuvchiga ish stoliga kirishni beradi, ikkinchisi esa o’sha foydalanuvchining tokeni yoki dastur hisobi resurs bilan nima qila olishini beradi. Ish stolini ocha oladigan yordam guruhi avtomatik ravishda mijozlar jadvalini o’qiy oladigan guruh emas.

Kirish yozuvini yozishdan oldin tokenga va vakolat yo’liga qarang. Ikkalasi ham sessiya ichidan ko’rinadi va bu javob taxmin bo’lmagan yagona joy.

whoami /groups
klist
query session

Agar dastur xizmat hisobidan foydalansa, keyinchalik muhim bo’lgan narsa uning huquqlaridir. O’sha hisob ma’lumotlarini almashtirish kirish ko’riga tegishli, keyingi operatsion fikrga emas.

Nega to’g’ridan-to’g’ri yo’l hali ham va haqli ravishda yopiq

Rad etish qoidasi faqat manzilga boshqa yo’l bilan yetish mumkinligi uchun xato emas. Segmentatsiya har bir manba bo’yicha baholanadi va ish stoli kimdir uni bazaga yo’l deb o’ylashidan ancha oldin ruxsat etilgan segmentda turadi. Hech narsa siyosatni chetlab o’tmadi. Siyosat shunchaki ikki xil natijaga ega ikki xil manbani tasvirlaydi.

Ko’rik javob berishi kerak bo’lgan narsa — o’sha hostdagi har bir ruxsat etilgan sessiya nima boshlay oladi. Saqlangan sessiyali brauzerlar, ulangan disklar, hisob ma’lumotlarini saqlovchi agentlar va mahalliy tinglovchi xizmatlar ish stolining qamrovini kengaytiradi va ularning hech biri kirishni bergan chiptada ko’rinmaydi. O’sha ro’yxat haqiqiy ruxsat yuzasidir.

Uni elektron jadvaldan emas, sinov sessiyasi ichidan sanang. Bir necha buyruq yuzaning katta qismini qamrab oladi.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Chegarani ataylab tanlang

Uch shakl turli vazifalarga mos keladi va tanlov tasodifan mavjud asbobni emas, vazifani kuzatishi kerak. Nashr etilgan dastur o’z ruxsatlariga ega bitta programmani ochadi, to’liq ish stoli foydalanuvchi profili qila oladigan hamma narsani ochadi, manba cheklovi bo’lgan tor baza hisobi esa ish stolisiz bitta resursni ochadi. Ishni hali ham tugatadigan eng tor shakl hujjatlashtirilishi kerak bo’lgan shakldir. Undan kengroq har qanday narsa yonida yozilgan sababni talab qiladi.

Bitta hisobot uchun nashr etilgan dastur yoki cheklangan hisob umumiy ish stolidan kichikroq ruxsat. Haqiqatan bir necha asbob talab qiladigan texnik xizmat uchun ish stoli to’g’ri bo’lishi mumkin, lekin unda tasdiq bitta dasturni emas, butun hostni tasvirlaydi. Resurs egasidan ushbu variantlardan qaysi biriga rozi ekanini so’rang.

Ma’lumotlar harakati — alohida kalit. Vaqtinchalik xotira, disklarni qayta yo’naltirish va yuklab olishlar kompaniya ma’lumotlarini klientga olib ketishi mumkin va dasturni masofadan ishga tushirish ma’lumotlarni o’z-o’zidan masofada saqlamaydi.

Ikkala tasdiqni va olib tashlash yo’lini tekshiring

Yozuvga ikki tasdiq kiradi: ish stoliga yetish va uni ochish huquqi hamda uning ichidan resurslardan foydalanish huquqi. Har biriga egasini ayting va ikkinchisini resursni ko’rib chiquvchilarning hammasiga ko’rinadigan qilib tuting. Auditor aynan o’sha ikkinchi yozuv haqida so’raydi, chunki u kirishni emas, qamrovni tasvirlaydi. Ikkalasini o’zgartirish tasdiqlanishidan oldin yozing, birinchi hodisadan keyin emas.

Keyin olib tashlashni sinang, chunki uzilgan sessiya o’z sababidan uzoq yashashi mumkin. Sessiyalar jadvali nima hali ishlayotganini ko’rishning eng tez joyi.

query session
query user
qwinsta /server:rdsh01.corp.internal

Klientni uzish masofaviy sessiyani ishlab turishda qoldiradi va uning tarmoq ulanishlari va keshlangan hisob ma’lumotlari o’sha sessiya tugaguncha foydalanish mumkin bo’lib qolishi mumkin. Tizimdan chiqing yoki sessiyani aniq tugating va shundan keyin quyi hisoblagich oldinga yurishdan to’xtashini tasdiqlang. Faqat noutbuk qopqog’ini yopadigan olib tashlash sinovi hech narsani isbotlamaydi. Xuddi shu sinovni bir marta hisob o’chirilgan holatda, bir marta ish stoli ruxsati olib tashlangan holatda o’tkazing, so’ng har bir holatda resurs nima qayd etganini yozing.