Comment vérifier si DataSunrise reçoit du trafic
Fondamentalement, la première chose à faire est de vérifier le Dashboard pour déterminer si une connexion est établie avec le proxy de la suite de sécurité DataSunrise. Le nombre de connexions établies est affiché dans la section Dashboard :
Par exemple, dans cette capture d’écran, vous pouvez voir qu’il y a 3 connexions établies, visibles dans la liste des proxies -> colonnes Sessions. De plus, selon la section des Sessions Auditées Actives, 2 d’entre elles appartiennent à l’application DBeaver qui est connectée au proxy.
Par la suite, ce document vous expliquera plus en détail comment vérifier si toutes les connexions requises sont établies correctement.
Outils requis
Vous devrez installer les outils spécifiques qui vous aideront à capturer le trafic requis.
Toutes les installations doivent être effectuées sur une machine où DataSunrise Security Suite est installé.
Dans le cas où la capture du trafic se ferait sur une machine exécutant le système d’exploitation Windows, il est recommandé d’utiliser l’outil appelé Wireshark : Téléchargement de Wireshark
Dans le cas où la capture est effectuée sur un système d’exploitation de type UNIX, l’outil recommandé est Tcpdump : Tcpdump — Wikipédia
sudo yum install –y tcpdump
Informations requises
Pour déterminer si le trafic circule entre une base de données, un client et DataSunrise, il est nécessaire de connaître les adresses IP de :
- Le serveur de base de données
- Le serveur DataSunrise
- La machine de l’application client
- Le numéro de port du proxy
Dès que vous obtenez les informations concernant les adresses IP, vous pouvez commencer le processus de vérification.
IMPORTANT : assurez-vous que toutes les préparations côté DataSunrise (l’instance est configurée et le proxy écoute sur le numéro de port désiré) et côté application client (l’application client est configurée pour se connecter au proxy DataSunrise) sont correctement effectuées.
Processus de vérification sous Linux
Après que le paquet Tcpdump a été correctement installé, exécutez la commande suivante en remplaçant les valeurs IP par celles qui correspondent à votre environnement :
sudo tcpdump -nn --number \(host DatabaseIP and host DataSunrise\) or \(host DataSunriseIP and host ClientIP\) and ProxyPort
L’application Tcpdump commencera à écouter les connexions établies en fonction du filtre que vous avez spécifié.
Vous devez maintenant établir une connexion avec le proxy DataSunrise et vérifier si la connexion souhaitée a été correctement établie depuis l’adresse IP de l’application client vers l’adresse IP DataSunrise et de l’adresse IP DataSunrise vers l’adresse IP de la base de données.
Exemple :
Essayons d’effectuer un test et voyons ce qui se passe lorsque je tente de me connecter à une machine Amazon EC2 sur laquelle DataSunrise est installé et où DataSunrise est configuré pour protéger une base de données MySQL. Les adresses IP pour l’environnement de test :
172.31.17.62 - Base de données 172.31.14.182 - DataSunrise 17.72.172.31 - Application client 3306 – Port du proxy
Comme vous pouvez le voir ici, lors de l’établissement d’une connexion, l’application client se connecte depuis le port 27217 à l’adresse IP de la machine DataSunrise sur le port 3306 (ligne 1) et, après cela, DataSunrise se connecte à la base de données elle-même depuis le port 47000 au port 3306 (ligne 4). La base de données MySQL répond également à DataSunrise (ligne 5) et ne répond pas directement à l’application client. Cela signifie que la connexion a été correctement établie et que l’application client se connecte bien au nom d’hôte de DataSunrise.
Windows
Dans l’interface utilisateur de WireShark, vous devrez spécifier un filtre dans le champ de texte du filtre.
Pour identifier correctement le trafic, vous devrez saisir le filtre suivant en remplaçant les valeurs IP par celles qui correspondent à votre environnement :
((ip.addr==DataSunriseIP and ip.addr==ClientIP) and tcp.port == ProxyPort) or (ip.addr==DatabaseIP and ip.addr==DataSunriseIP)
Après avoir spécifié le filtre, tout comme pour Linux, vous devrez tenter d’établir une connexion avec le proxy DataSunrise et vérifier que toutes les connexions se dirigent correctement vers les cibles souhaitées.
Exemple :
Essayons d’effectuer un test et voyons ce qui se passe lorsque je tente de me connecter à la machine sur laquelle DataSunrise est installé et qui est configuré pour protéger une base de données PostgreSQL. Les adresses IP pour l’environnement de test :
18.0.14.148 - Base de données 192.168.1.35 - DataSunrise 192.168.1.109 - Application client 5433 – Port du proxy
Comme vous pouvez le voir dans la capture d’écran, lorsque j’appuie sur le bouton de test de connexion sur la machine client, le trafic passe de ClientIP à l’adresse IP de DataSunrise via le port 5433 (ligne 191). Après cela, DataSunrise commence à renvoyer le trafic vers la DatabaseIP (ligne 194). Il y a également de nombreuses autres lignes qui prouvent que le trafic se dirige vers le serveur PostgreSQL (colonne Protocole). Par exemple, la ligne 198 montre que DataSunrise a envoyé du trafic vers la base de données, puis la ligne 200 montre que la base de données a renvoyé sa réponse à DataSunrise en utilisant le protocole PGSQL.
Cela signifie que le trafic se dirige directement vers l’adresse IP de la machine DataSunrise souhaitée.