Come verificare se DataSunrise riceve traffico
Fondamentalmente, la prima cosa da fare è controllare il Dashboard per determinare se è stata stabilita una connessione con il proxy della Security Suite di DataSunrise. Il conteggio delle connessioni stabilite è mostrato nella sezione Dashboard:
Ad esempio, in questo screenshot si può osservare che sono state stabilite 3 connessioni, visibili nella lista dei Proxies -> colonne Sessions. Inoltre, secondo la sezione delle Sessioni audit attive, 2 di queste appartengono all’applicazione DBeaver che risulta connessa al proxy.
Inoltre, da questo documento apprenderà in dettaglio come verificare se tutte le connessioni richieste sono state stabilite correttamente.
Strumenti richiesti
Sarà necessario installare gli strumenti specifici che la aiuteranno a catturare il traffico richiesto.
Tutte le installazioni devono essere effettuate su una macchina in cui è installato DataSunrise Security Suite.
Nel caso in cui la cattura del traffico venga eseguita su una macchina con Windows OS, si raccomanda di utilizzare lo strumento denominato Wireshark: Scarica Wireshark
Nel caso in cui la cattura venga eseguita su un sistema operativo basato su UNIX, lo strumento raccomandato è Tcpdump: Tcpdump — Wikipedia
sudo yum install –y tcpdump
Informazioni richieste
Per determinare se il traffico scorre tra un database, un client e DataSunrise, è necessario conoscere gli indirizzi IP di:
- Server del Database
- Server di DataSunrise
- Macchina dell’applicazione client
- Numero della porta del Proxy
Non appena saranno ottenute le informazioni sugli indirizzi IP, potrà iniziare il processo di verifica.
IMPORTANTE: si assicuri che tutte le preparazioni sul lato DataSunrise (l’istanza è configurata e il Proxy è in ascolto sulla porta desiderata) e sul lato dell’applicazione client (l’applicazione client è configurata per connettersi al proxy DataSunrise) siano eseguite correttamente.
Processo di Verifica su Linux
Dopo che il pacchetto Tcpdump è stato installato correttamente, esegua il seguente comando sostituendo i valori IP con quelli corrispondenti al suo ambiente:
sudo tcpdump -nn --number \(host DatabaseIP and host DataSunrise\) or \(host DataSunriseIP and host ClientIP\) and ProxyPort
L’applicazione Tcpdump inizierà ad ascoltare le connessioni stabilite in base al filtro specificato.
Adesso, è necessario stabilire una connessione con il proxy DataSunrise e verificare se la connessione desiderata è stata stabilita correttamente dall’indirizzo IP dell’applicazione client all’indirizzo IP di DataSunrise e, da quest’ultimo, a quello del Database.
Esempio:
Proviamo a eseguire un test e vediamo cosa accade quando si tenta di connettersi a una macchina Amazon EC2 su cui è installato DataSunrise e DataSunrise è configurato per proteggere un database MySQL. Gli indirizzi IP per l’ambiente di test:
172.31.17.62 - Database 172.31.14.182 - DataSunrise 17.72.172.31 - Applicazione client 3306 – Porta del Proxy
Come si può osservare, al momento della stabilizzazione della connessione, l’applicazione client si è connessa dalla porta 27217 all’indirizzo IP della macchina DataSunrise sulla porta 3306 (riga 1) e, successivamente, DataSunrise si è connesso al Database stesso dalla porta 47000 alla porta 3306 (riga 4). Il database MySQL risponde anche a DataSunrise (riga 5) e non risponde direttamente all’applicazione client. Ciò significa che la connessione è stata stabilita correttamente e l’applicazione client si connette direttamente all’hostname DataSunrise.
Windows
Nell’interfaccia utente di Wireshark, sarà necessario specificare un filtro nel campo di testo dedicato al filtro.
Per identificare correttamente il traffico, sarà necessario immettere il seguente filtro, sostituendo i valori IP con quelli corrispondenti al suo ambiente:
((ip.addr==DataSunriseIP and ip.addr==ClientIP) and tcp.port == ProxyPort) or (ip.addr==DatabaseIP and ip.addr==DataSunriseIP)
Dopo aver specificato il filtro, come per Linux, sarà necessario tentare di stabilire una connessione con il proxy DataSunrise e verificare se tutte le connessioni vengono instradate correttamente verso gli obiettivi desiderati.
Esempio:
Proviamo ad eseguire un test e vediamo cosa accade quando si tenta di connettersi alla macchina in cui è installato DataSunrise e DataSunrise è configurato per proteggere un database PostgreSQL. Gli indirizzi IP per l’ambiente di test:
18.0.14.148 - Database 192.168.1.35 - DataSunrise 192.168.1.109 - Applicazione client 5433 – Porta del Proxy
Come si può osservare dallo screenshot, quando si preme il pulsante di test della connessione sulla macchina client, il traffico transita da ClientIP all’indirizzo DataSunriseIP attraverso la porta 5433 (riga 191). Successivamente, DataSunrise inizia a inviare nuovamente il traffico a DatabaseIP (riga 194). Sono presenti anche molte altre righe che dimostrano che il traffico viene instradato verso il server PostgreSQL (colonna Protocol). Ad esempio, la riga 198 mostra che DataSunrise ha inviato traffico al Database e, successivamente, la riga 200 indica che il Database ha inviato la sua risposta a DataSunrise utilizzando il protocollo PGSQL.
Ciò significa che il traffico transita direttamente all’indirizzo IP della macchina DataSunrise desiderata.