Comment vérifier si DataSunrise reçoit du trafic
Fondamentalement, la première chose à faire est de vérifier le tableau de bord pour déterminer si une connexion est établie avec le proxy de la suite de sécurité de DataSunrise. Le nombre de connexions établies est affiché dans la section du tableau de bord :
Par exemple, dans cette capture d’écran, vous pouvez voir qu’il y a 3 connexions établies, elles peuvent être vues dans la liste des proxys -> colonnes des sessions. Selon la section Sessions Auditées Actives, 2 d’entre elles appartiennent à l’application DBeaver qui est connectée au proxy.
Ensuite, dans ce document, vous apprendrez plus en détail comment vérifier si toutes les connexions requises sont correctement établies.
Outils requis
Vous devrez installer des outils spécifiques qui vous aideront à capturer le trafic requis.
Toutes les installations doivent être effectuées sur une machine où la DataSunrise Security Suite est installée.
Dans le cas où la capture de trafic est effectuée sur une machine exécutant Windows OS, il est recommandé d’utiliser l’outil appelé Wireshark : https://www.wireshark.org/download/
Dans le cas où la capture est effectuée sur un système d’exploitation basé sur UNIX, l’outil recommandé est Tcpdump : https://en.wikipedia.org/wiki/Tcpdump
sudo yum install –y tcpdump
Information requise
Pour déterminer si le trafic circule entre une base de données, un client et DataSunrise, il est nécessaire de connaître les adresses IP de :
- Serveur de base de données
- Serveur DataSunrise
- Machine de l’application cliente
- Numéro de port du proxy
Dès que vous avez les informations sur les adresses IP, vous pouvez commencer le processus de vérification.
IMPORTANT : assurez-vous que toutes les préparations du côté DataSunrise (l’instance est configurée et le proxy écoute sur le numéro de port souhaité) et du côté de l’application cliente (l’application cliente est configurée pour se connecter au proxy DataSunrise) sont correctement effectuées.
Processus de vérification sous Linux
Après avoir correctement installé le package Tcpdump, exécutez la commande suivante en remplaçant les valeurs IP par celles correspondant à votre environnement :
sudo tcpdump -nn --number \(host DatabaseIP and host DataSunrise\) or \(host DataSunriseIP and host ClientIP\) and ProxyPort
L’application Tcpdump commencera à écouter les connexions établies selon le filtre que vous avez spécifié.
Maintenant, vous devez établir une connexion avec le proxy DataSunrise et vérifier si la connexion souhaitée a été correctement établie de l’adresse IP de l’application cliente à l’adresse IP de DataSunrise et de l’adresse IP de DataSunrise à l’adresse IP de la base de données.
Exemple :
Essayons d’exécuter un test et voyons ce qui se passe lorsque j’essaie de me connecter à une machine Amazon EC2 où DataSunrise est installé et DataSunrise est configuré pour protéger une base de données MySQL. Les adresses IP pour l’environnement de test :
172.31.17.62 - Base de données 172.31.14.182 - DataSunrise 17.72.172.31 - Application cliente 3306 – Port du proxy
Comme vous pouvez le voir ici, lors de l’établissement d’une connexion, l’application cliente s’est connectée depuis le port 27217 à l’adresse IP de la machine DataSunrise au port 3306 (ligne 1) et après cela, DataSunrise s’est connecté à la base de données elle-même depuis le port 47000 au port 3306 (ligne 4). La base de données MySQL répond également à DataSunrise (ligne 5) et ne répond pas directement à l’application cliente. Cela signifie que la connexion a été établie correctement et que l’application cliente se connecte directement au nom d’hôte DataSunrise.
Windows
Dans l’interface utilisateur de WireShark, vous devrez spécifier un filtre dans le champ de texte du filtre.
Pour identifier correctement le trafic, vous devrez entrer le filtre suivant en remplaçant les valeurs IP par celles correspondant à votre environnement :
((ip.addr==DataSunriseIP and ip.addr==ClientIP) and tcp.port == ProxyPort) or (ip.addr==DatabaseIP and ip.addr==DataSunriseIP)
Après avoir spécifié le filtre, comme pour Linux, vous devrez essayer d’établir une connexion avec le proxy DataSunrise et vérifier si toutes les connexions se dirigent correctement vers les cibles souhaitées.
Exemple :
Essayons d’exécuter un test et voyons ce qui se passe lorsque j’essaie de me connecter à la machine où DataSunrise est installé et DataSunrise est configuré pour protéger une base de données PostgreSQL. Les adresses IP pour l’environnement de test :
18.0.14.148 - Base de données 192.168.1.35 - DataSunrise 192.168.1.109 - Application cliente 5433 – Port du proxy
Comme vous pouvez le voir dans la capture d’écran, lorsque j’appuie sur le bouton de test de connexion sur la machine cliente, le trafic passe de l’adresse IP cliente à l’adresse IP DataSunrise via le port 5433 (ligne 191). Après cela, DataSunrise commence à renvoyer le trafic à l’adresse IP de la base de données (ligne 194). Il y a aussi beaucoup d’autres lignes qui prouvent que le trafic passe vers le serveur PostgreSQL (colonne Protocole). Par exemple, la ligne 198 montre que DataSunrise a envoyé du trafic à la base de données et puis la ligne 200 montre que la base de données a envoyé sa réponse à DataSunrise en utilisant le protocole PGSQL.
Cela signifie que le trafic va directement à l’adresse IP de la machine DataSunrise souhaitée.