Preverjanje vzorcev prijav in njihovega izvora

Želite vedeti, kdaj se uporabniki prijavljajo v prehod, od kod prihajajo prijave in ali kažejo znake napada, na primer val napačnih ključev iz tuje države ali en sam ključ, ki je uporabljen v enem dnevu na več celinah.

Prehod vodi dnevnik prijav v datoteki dnevnikov poleg skrbniške shrambe: vsako odločitev o prijavi s postopkom, izidom, razlogom zavrnitve, osebo in izvorom. Izvor določi brez povezave z zunanjimi storitvami: z geolokacijsko zbirko, ki je shranjena na strežniku, in z omrežji, ki jih poimenujete sami. Vsako minuto nove dogodke preveri s pravili prijave in vse, kar pravila zaznajo, shrani kot ugotovitev. Pri tem dogodek primerja s tem, kar je bilo za posamezno osebo običajno v zadnjih mesecih. Podatke ovrednotite prek skrbniškega vmesnika:

Čas z vidika strežnika. Ura in dan v tednu se ravnata po uri strežnika. Prijava iz Tokia in prijava iz Berlina v istem trenutku padeta v isto uro. Tako je razvidno, kdaj je prehod obremenjen in kdaj poteka napad, ne glede na krajevni čas klicatelja.

1. Zagotovite geolokacijsko zbirko. Brez nje dnevnik pokaže le, ali naslov pripada lastnemu, zasebnemu ali javnemu omrežju, ne pa države in operaterja omrežja. Način izberite glede na to, ali ima strežnik dostop do interneta:

   Okolje	Način
   Strežnik ima dostop do interneta	Izberite vir in pustite, da prehod datoteke prenese sam: POST /admin/v1/set-geoip-source z { "source": "dbip-lite", "updateDays": 30 }, nato POST /admin/v1/update-geoip. Z updateDays jih odslej osvežuje sama.
   Do interneta dostopa le delovna postaja skrbnika	Aplikacija za upravljanje datoteke prenese in jih preda z POST /admin/v1/upload-geoip.
   Do interneta ne dostopata ne strežnik ne delovna postaja	Datoteke pridobite po drugi poti in jih predajte z upload-geoip ali jih na strežniku uvozite z ukazom `import-geoip`.

   Na voljo sta DB-IP Lite (brez računa, licenca CC BY 4.0) in MaxMind GeoLite2 (s številko računa in licenčnim ključem vašega računa MaxMind); glejte Viri geolokacijske zbirke. Obe licenci zahtevata navedbo vira. Prehod besedilo vrne v GeoIpFiles.Attribution; kdor izvor prikazuje, mora prikazati tudi to besedilo.

2. Poimenujte lastna omrežja. Omrežja svojih lokacij vpišite v konfiguracijo, da dnevnik namesto zasebnega naslova pokaže „Obrat 3“:

   "Gateway": {
     "SignInLog": {
       "Networks": [
         { "Name": "Sedež",   "Network": "10.1.0.0/16" },
         { "Name": "Obrat 3", "Network": "10.3.0.0/16" }
       ]
     }
   }

3. Dostop do posameznih dogodkov omejite na pristojne. Množice s števili in vzorci bere vsak klicatelj s pravilom z admin. Naslov in oseba posamezne prijave sta osebna podatka; bere ju lahko le klicatelj, katerega pravilo dodatno izrecno navaja vir sign-in-events:

   { "Id": "varnost", "Resources": [ "admin", "sign-in-events" ], "Verbs": [ "GET" ], "ReadOnly": true }

   V skrbniški shrambi je to vnos resource = sign-in-events pod ClientRuleItems.

4. Nastavite obveščanje o ugotovitvah. Da za napad nekdo izve tudi ponoči, vpišite prejemnike in nastavite pošiljanje pošte:

   "Gateway": {
     "SignInLog": {
       "TimeZone": "Europe/Ljubljana",
       "Alerts": { "Recipients": [ "varnost@example.com" ], "DigestHour": 7 }
     }
   }

   Ugotovitve stopnje act (vzorci napadov, predan ključ) gredo po pošti takoj, ugotovitve stopnje ask (nekaj je za osebo novo) enkrat na dan v zbirnem sporočilu. Brez prejemnikov so ugotovitve le v dnevniku prehoda in v SignInFindings.

5. Preberite ugotovitve. SignInFindings navede vsako ugotovitev s pravilom, stopnjo, časom, besedilom in predlogom; pravila in njihovi pragovi so v referenčnem priročniku. Program si zapomni najvišji prebrani Id in nato poizveduje le po novejših:

   GET /admin/v1/odata/SignInFindings?$filter=Id gt 4711

   Observed je opažena vrednost, Usual to, kar je za osebo običajno; EventIds vodi do posameznih dogodkov v SignInEvents, dokler so še v datoteki dnevnikov.

6. Poglejte profil osebe. Da ugotovitev lažje ocenite („je Italija za Franka nova ali le redka?“), zahtevajte profil prijav za obdobje, ki vas zanima:

   POST /admin/v1/sign-in-profile
   Content-Type: application/json
    
   { "person": "Frank Mustermann", "days": 365 }

   Ugotovitve same vedno primerjajo s 90 dnevi pred dogodkom; obdobje profila spremeni le pogled.

7. Ovrednotite porazdelitev. Za tedenski pregled združite SignInHours po Weekday (1 = ponedeljek) in HourOfDay; za zemljevid uporabite Latitude/Longitude iz SignInOrigins. Origin navaja naslov ali omrežje v obliki, ki jo pravilo prijave sprejme pod from.

• Kaj se šteje. Uspešna prijava je zapisana enkrat na 15 minut za vsako kombinacijo osebe, postopka in izvora, ne pri vsaki zahtevi. Enake zavrnitve v eni minuti so shranjene kot en dogodek s številom (Repeats). Zahteva brez prijavnih podatkov, na katero prehod odgovori s svojimi postopki prijave, ni neuspešen poskus: tako se začne vsaka prijava Windows. Pojavi se kot challenge in se v stanju prehoda ne šteje med zavrnjene.
• Ne štejejo se zahteve prijavljenega klicatelja, ki mu manjka le pravica za objekt, in zahteve k podatkovni zbirki, ki ni berljiva; o prijavi ne povedo ničesar.
• Izvor za posredniškim strežnikom. Izvor je naslov, ki prispe do prehoda; za zaupanja vrednim posredniškim strežnikom je to posredovani naslov. Če posredniški strežnik ni vpisan, imajo vse prijave njegov naslov.
• Hramba. Posamezni dogodki, profili in ugotovitve ostanejo, dokler datoteka dnevnikov ne doseže svoje velikosti (Gateway:Store:LogMaxMegabytes, privzeto 4096 MB); nato prehod najprej odstrani najstarejše vnose, ugotovitve nazadnje. Urne vrednosti ostanejo 400 dni (Gateway:SignInLog:HourDays). Koordinate so zaokrožene na eno decimalno mesto (približno 10 km); geolokacijska zbirka tako ali tako določi le približen kraj, večinoma mesto operaterja omrežja.
• Soodločanje. V Nemčiji je vrednotenje, ki prijavno vedenje posameznih zaposlenih primerja v daljšem obdobju, lahko predmet soodločanja sveta delavcev (tehnična naprava za nadzor). Uporabo vnaprej uskladite s pristojnimi v svoji organizaciji. To je opozorilo, ne pravni nasvet. Prehod oseb ne razvršča, časov v profilih ne vodi natančneje od ure in profil pokaže le na izrecno zahtevo za eno osebo.
• Ključi se v dnevniku nikoli ne pojavijo, le njihova oznaka. Neznano ime prijave SQL Server se zabeleži, da je mogoče opaziti poskuse z velikim številom imen.

• Konfiguracija: Gateway:SignInLog – vse nastavitve
• Skrbniški vmesnik: dnevnik prijav in geolokacijska zbirka – polja in ukazi
• Stopnjevanje dostopa glede na lokacijo – pravila po izvoru
• Varnostni model in meje zaupanja