Conexiones SSL de larga duración a direcciones IP dinámicas

1

Estoy viendo algún comportamiento extraño en los registros de mi servidor proxy desde que empecé a bloquear las conexiones salientes directas al puerto 443 (forzando así a las aplicaciones a usar el servidor proxy para las conexiones HTTPS).

Estoy viendo un montón de conexiones salientes de bajo tráfico (en el rango de 0 a 20K bytes), de larga duración (en el rango de 1 a 25 minutos) a través del servidor proxy al puerto 443 en direcciones IP en asignación dinámica (ISP del consumidor) rangos.

Los registros muestran que estas conexiones se están realizando a la IP, no a un nombre de host que se resuelve a la IP (por lo que un ejemplo sería "CONECTAR 1.2.3.4:443" y no "CONECTAR dynamic.example.com: 443 "en el registro de Squid).

La mayoría de mis usuarios tienen Skype (es una herramienta comercial para ellos), por lo que me preguntaba si este patrón de conexiones es Skype o alguna otra cosa que no conozco.

    
pregunta AndyK 06.11.2013 - 10:39
fuente

1 respuesta

1

Si tiene acceso de administrador a los sistemas de los usuarios, puede comenzar por descargar la lista de sockets abiertos y procesos conectados con "netstat -nab" en Windows o "netstat -nap" en Linux. Solo busque la fuente y los destinos que está viendo en el proxy. Eso puede dejar claro lo que está conectando. También puede intentar conectarse al lado del servidor para recopilar su certificado. El comando openssl s_client es bueno para esto.

openssl s_client -connect IPADDRESS: 443 | openssl x509 -text

Esperamos que quede claro de inmediato si son conexiones benignas (Skype u otro tipo de tráfico semi-legítimo) o malintencionadas (canal de comando y control).

    
respondido por el Paul Doom 11.11.2013 - 14:46
fuente

Lea otras preguntas en las etiquetas