Snort ở rìa VPN: nơi các gói tin hiện ra

Theo dõi một yêu cầu từ một máy tính xách tay từ xa và nó đi qua nhiều ranh giới trước khi bất cứ thứ gì có thể kiểm tra nó. Đường hầm bên ngoài kết thúc tại tiến trình VPN, gói bên trong xuất hiện trên một giao diện, và phiên HTTPS bên trong tiếp tục đến ứng dụng. Công cụ kiểm tra chỉ thấy những gì hiển thị tại điểm mà các gói tin đến nó. Cài đặt một công cụ mà không quyết định điểm đó, và nhật ký sẽ mô tả sai lớp.

Một gói tin đi qua nhiều ranh giới

Trước khi kết thúc VPN, người quan sát thấy một kết nối bên ngoài, thường đến cổng VPN, có địa chỉ và kích thước nhưng không có cấu trúc bên trong. Sau khi kết thúc, địa chỉ, cổng và giao thức bên trong có sẵn tại điểm xử lý chuyển giao chúng. TLS của chính ứng dụng vẫn được mã hóa trừ khi một thiết kế riêng kết thúc nó. Đó là ba mức độ hiển thị, và tên gói không cho bạn biết bạn đã mua mức nào.

Vẽ đường đi với các ranh giới được đánh dấu, sau đó đặt cảm biến trên đường có thể trả lời câu hỏi, vì vị trí là một phần của câu trả lời. Một ranh giới bạn không thể gọi tên là ranh giới bạn không thể kiểm tra.

Xem những gì đọc được tại mỗi điểm

Kiểm tra giao diện và một bản ghi ngắn trước khi tin bất kỳ mô tả nào về kiến trúc.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Danh sách liên kết hiển thị các đường hầm và giao diện vật lý hiện có, và bản ghi hiển thị chính xác những gì một cảm biến gắn ở đó sẽ nhận được. Nếu nó hiển thị địa chỉ bên trong nhưng không có dòng yêu cầu HTTP, bạn đang ở sau khi kết thúc VPN và vẫn nằm ngoài TLS của ứng dụng. Đó là nơi bình thường để phát hiện mạng và nơi sai để kiểm tra nội dung. Lặp lại bản ghi trên giao diện bên ngoài để so sánh những gì ranh giới kia để lộ.

Phát hiện thụ động không thể tự chặn

Tài liệu kiểm tra của Snort tách quan sát thụ động khỏi hoạt động trong tuyến. Chế độ thụ động có thể cảnh báo về lưu lượng mà không dừng nó trên đường đó.

snort -T -c /etc/snort/snort.lua

Chế độ thử nghiệm xác thực cấu hình mà không chạy cảm biến, đây là bước đầu tiên đúng trước mọi lần triển khai. Hoạt động trong tuyến cần một cách bố trí thu gói tương thích và cấu hình thực thi tương ứng, không chỉ một cờ bổ sung. Vì vậy một mục nhật ký không phải bằng chứng rằng một yêu cầu đã bị ngăn chặn, và một tiến trình được khởi động với tùy chọn trông giống trong tuyến không chứng minh rằng luồng thực sự được chuyển tiếp đi qua nó. Xác nhận nơi triển khai thực sự chuyển giao các gói tin.

Chọn chế độ thực thi trước khi triển khai

Quyết định yêu cầu là khả năng hiển thị hay ngăn chặn, vì cả hai có hành vi khi lỗi khác nhau. Một cảm biến thụ động chết để lưu lượng tiếp tục và tạo ra khoảng trống giám sát; một thiết bị trong tuyến chết có thể cho lưu lượng đi qua hoặc dừng nó, và lựa chọn đó phải có chủ đích. Thống nhất một luồng được phép, một luồng phải bị từ chối, và hành vi bạn muốn khi cảm biến lỗi. Giữ việc khôi phục quản trị tách khỏi đường được kiểm tra, để một sai sót trong cảm biến không lấy luôn quyền truy cập của bạn.

Sau đó ghi lại lưu lượng hiển thị, điểm xử lý và hành vi thực thi. Ba sự thật đó, không phải gói đã cài, mô tả những gì triển khai thực sự làm.