Come Verificare se DataSunrise Riceve Traffico
Fondamentalmente, la prima cosa da fare è controllare il Dashboard per determinare se una connessione è stabilita con il proxy di DataSunrise Security Suite. Il conteggio delle connessioni stabilite viene mostrato nella sezione Dashboard:
Ad esempio, in questo screenshot puoi vedere che ci sono 3 connessioni stabilite, visibili nella lista dei Proxy -> colonne Sessions. Inoltre, secondo la sezione Active Audited Sessions, 2 di queste connessioni appartengono all’applicazione DBeaver che è collegata al proxy.
Inoltre, da questo documento apprenderai in modo più dettagliato come verificare se tutte le connessioni necessarie sono stabilite correttamente.
Strumenti Richiesti
Occorre installare specifici strumenti che ti aiuteranno a catturare il traffico richiesto.
Tutte le installazioni devono essere effettuate su una macchina dove è installato DataSunrise Security Suite.
Nel caso in cui la cattura del traffico venga effettuata su una macchina con sistema operativo Windows, si consiglia di utilizzare lo strumento chiamato Wireshark: https://www.wireshark.org/download/
Nel caso in cui la cattura avvenga su un sistema operativo basato su UNIX, lo strumento consigliato è Tcpdump: https://en.wikipedia.org/wiki/Tcpdump
sudo yum install –y tcpdump
Informazioni Richieste
Per determinare se il traffico scorre tra un database, client e DataSunrise, è necessario conoscere gli indirizzi IP di:
- Server del database
- Server DataSunrise
- Macchina dell’applicazione client
- Numero di porta del proxy
Non appena si ottengono le informazioni sugli indirizzi IP, si può iniziare il processo di verifica.
IMPORTANTE: assicurati che tutte le preparazioni da parte di DataSunrise (l’istanza è configurata, e il Proxy sta ascoltando sul numero di porta desiderato) e del lato dell’Applicazione Client (l’applicazione client è configurata per connettersi al proxy DataSunrise) siano effettuate correttamente.
Processo di Verifica su Linux
Dopo che il pacchetto Tcpdump è stato installato correttamente, esegui il seguente comando sostituendo i valori IP con quelli che corrispondono al tuo ambiente:
sudo tcpdump -nn --number \(host DatabaseIP and host DataSunrise\) or \(host DataSunriseIP and host ClientIP\) and ProxyPort
L’applicazione Tcpdump inizierà ad ascoltare le connessioni che sono stabilite secondo il filtro specificato.
Ora devi stabilire una connessione con il proxy DataSunrise e verificare se la connessione desiderata è stata stabilita correttamente dall’indirizzo IP dell’applicazione client all’indirizzo IP di DataSunrise e dall’indirizzo IP di DataSunrise all’indirizzo IP del database.
Esempio:
Proviamo a eseguire un test e vedere cosa succede quando tento di connettermi a una macchina Amazon EC2 dove è installato DataSunrise e DataSunrise è configurato per proteggere un database MySQL. Gli indirizzi IP per l’ambiente di test sono:
172.31.17.62 - Database 172.31.14.182 - DataSunrise 17.72.172.31 - Applicazione client 3306 – Porta del proxy
Come puoi vedere qui, stabilendo una connessione l’applicazione Client si è connessa dalla porta 27217 all’indirizzo IP della macchina DataSunrise alla porta 3306 (riga 1) e dopo di ciò DataSunrise si è connesso al database stesso dalla porta 47000 alla porta 3306 (riga 4). Il database MySQL risponde anche a DataSunrise (riga 5) e non risponde direttamente all’applicazione client. Questo significa che la connessione è stata stabilita correttamente e l’applicazione client si connette direttamente al nome host di DataSunrise.
Windows
Nell’interfaccia utente di WireShark, è necessario specificare un filtro nel campo di testo del filtro.
Per identificare correttamente il traffico, sarà necessario inserire il seguente filtro sostituendo i valori IP con quelli che corrispondono al tuo ambiente:
((ip.addr==DataSunriseIP and ip.addr==ClientIP) and tcp.port == ProxyPort) or (ip.addr==DatabaseIP and ip.addr==DataSunriseIP)
Dopo che il filtro è stato specificato, proprio come per Linux, sarà necessario provare a stabilire una connessione con il proxy DataSunrise e controllare se tutte le connessioni vanno correttamente verso i target desiderati.
Esempio:
Proviamo a eseguire un test e vedere cosa succede quando tento di connettermi alla macchina dove è installato DataSunrise e DataSunrise è configurato per proteggere un database PostgreSQL. Gli indirizzi IP per l’ambiente di test sono:
18.0.14.148 - Database 192.168.1.35 - DataSunrise 192.168.1.109 - Applicazione client 5433 – Porta del proxy
Come si può vedere nello screenshot, quando premo il pulsante di test della connessione sulla macchina client, il traffico passa dall’IP del client all’indirizzo IP DataSunrise attraverso la porta 5433 (linea 191). Dopo di ciò, DataSunrise inizia a re-inviare il traffico all’IP del database (linea 194). Ci sono anche molte altre linee che dimostrano che il traffico va al server PostgreSQL (Colonna del Protocollo). Ad esempio, la linea 198 mostra che DataSunrise ha inviato traffico al database e poi la linea 200 mostra che il database ha inviato la sua risposta a DataSunrise utilizzando il protocollo PGSQL.
Questo significa che il traffico va direttamente all’indirizzo IP della macchina DataSunrise desiderata.