Come Verificare se DataSunrise Riceve il Traffico
Fondamentalmente, la prima cosa da fare è controllare la Dashboard per determinare se è stabilita una connessione con il proxy di DataSunrise Security Suite. Il conteggio delle connessioni stabilite è mostrato nella sezione Dashboard:
Per esempio, in questo screenshot puoi vedere che ci sono 3 connessioni stabilite, visibili nella lista dei Proxies -> colonne delle Sessioni. Inoltre, secondo la sezione delle Sessioni di Audit Attive, 2 di queste connessioni appartengono all’applicazione DBeaver che è connessa al proxy.
Inoltre, da questo documento imparerai più in dettaglio come verificare se tutte le connessioni richieste sono stabilite correttamente.
Strumenti Necessari
Avrai bisogno di installare gli strumenti specifici che ti aiuteranno a catturare il traffico necessario.
Tutte le installazioni devono essere effettuate su una macchina dove è installato il DataSunrise Security Suite.
Nel caso la cattura del traffico sia effettuata su una macchina con sistema operativo Windows, è raccomandato utilizzare lo strumento chiamato Wireshark: https://www.wireshark.org/download/
Nel caso la cattura sia effettuata su un sistema operativo basato su UNIX, lo strumento raccomandato è Tcpdump: https://en.wikipedia.org/wiki/Tcpdump
sudo yum install –y tcpdump
Informazioni Necessarie
Per determinare se il traffico fluisce tra un database, un client e DataSunrise, è necessario conoscere gli indirizzi IP di:
- Server del database
- Server di DataSunrise
- Macchina dell’applicazione client
- Numero di porta del proxy
Non appena avrai le informazioni sugli indirizzi IP, puoi iniziare il processo di verifica.
IMPORTANTE: assicurarsi che tutte le preparazioni sul lato di DataSunrise (l’istanza sia configurata, e il Proxy ascolti sul numero di porta desiderato) e sul lato dell’Applicazione Cliente (l’applicazione cliente sia configurata per connettersi al proxy DataSunrise) siano state eseguite correttamente.
Processo di Verifica su Linux
Dopo che il pacchetto Tcpdump è stato correttamente installato, esegui il seguente comando sostituendo i valori IP con quelli corrispondenti al tuo ambiente:
sudo tcpdump -nn --number \(host DatabaseIP and host DataSunrise\) or \(host DataSunriseIP and host ClientIP\) and ProxyPort
L’applicazione Tcpdump inizierà ad ascoltare le connessioni che sono stabilite secondo il filtro che hai specificato.
Ora devi stabilire una connessione con il proxy di DataSunrise e controllare se la connessione desiderata è stata stabilita correttamente dall’indirizzo IP dell’applicazione cliente all’indirizzo IP di DataSunrise e dall’indirizzo IP di DataSunrise all’indirizzo IP del database.
Esempio:
Proviamo a eseguire un test e vedere cosa succede quando provo a connettermi a una macchina Amazon EC2 dove è installato DataSunrise e DataSunrise è configurato per proteggere un database MySQL. Gli indirizzi IP per l’ambiente di test:
172.31.17.62 - Database 172.31.14.182 - DataSunrise 17.72.172.31 - Applicazione client 3306 – Porta del proxy
Come puoi vedere qui, stabilendo una connessione l’applicazione client si è connessa dalla porta 27217 all’indirizzo IP della macchina DataSunrise alla porta 3306 (linea 1) e dopo questo DataSunrise si è connesso al database stesso dalla porta 47000 alla porta 3306 (linea 4). Il database MySQL risponde anche a DataSunrise (linea 5) e non risponde direttamente all’applicazione client. Questo significa che la connessione è stata stabilita correttamente e l’applicazione client si connette direttamente all’hostname di DataSunrise.
Windows
Nell’interfaccia utente di WireShark, dovrai specificare un filtro nel campo di testo del filtro.
Per identificare correttamente il traffico dovrai inserire il seguente filtro sostituendo i valori IP con quelli corrispondenti al tuo ambiente:
((ip.addr==DataSunriseIP and ip.addr==ClientIP) and tcp.port == ProxyPort) or (ip.addr==DatabaseIP and ip.addr==DataSunriseIP)
Dopo che il filtro è stato specificato, proprio come per Linux, dovrai tentare di stabilire una connessione con il proxy di DataSunrise e controllare se tutte le connessioni vanno correttamente ai bersagli desiderati.
Esempio:
Proviamo a eseguire un test e vedere cosa succede quando provo a connettermi alla macchina dove è installato DataSunrise e DataSunrise è configurato per proteggere un database PostgreSQL. Gli indirizzi IP per l’ambiente di test:
18.0.14.148 - Database 192.168.1.35 - DataSunrise 192.168.1.109 - Applicazione client 5433 – Porta del proxy
Come puoi vedere nello screenshot, quando premo sul pulsante di test della connessione sulla macchina client, il traffico va da ClientIP all’indirizzo DataSunriseIP tramite la porta 5433 (linea 191). Successivamente, DataSunrise inizia a rispedire il traffico a DatabaseIP (linea 194). Ci sono anche molte altre linee che dimostrano che il traffico va al server PostgreSQL (colonna del protocollo). Ad esempio, la linea 198 mostra che DataSunrise ha inviato traffico al database e poi la linea 200 mostra che il database ha inviato la sua risposta a DataSunrise usando il protocollo PGSQL.
Ciò significa che il traffico va direttamente all’indirizzo IP della macchina DataSunrise desiderato.