Несанкцыянаваны VPN-маршрутызатар: кантроль допуску да расшыфроўкі

Невядомы маршрутызатар, які з'яўляецца на ўнутраным порце камутатара і адразу адкрывае знешні VPN, ужо прайшоў праз найважнейшы кантроль. Допуск вырашае, ці атрымае прылада ўвогуле прыдатны доступ да сеткі, а расшыфроўка толькі паведамляе, што яна зрабіла потым. Правільны парадак ператварае немагчымае пытанне інспекцыі ў звычайнае пытанне палітыкі порта. Гэта таксама розніца паміж адваротным дзеяннем і перапынкам у працы.

Допуск вызначаецца на порце

Спытайцеся, як прылада атрымала прыдатнае злучэнне, перш чым пытацца, што нясе яе тунель. Маршрутызатар, падлучаны да актыўнага насценнага порта, або бесправадны кліент, які далучыўся да адкрытай SSID, быў дапушчаны той палітыкай, якую прымяняе гэты порт або SSID. Калі гэтая палітыка гучыць як «усё, што падлучана, атрымлівае працоўны VLAN», то VPN — гэта сімптом, а не ўразлівасць.

Арандаванне DHCP не з'яўляецца запісам аб аўтарызацыі. Атрыманне адраса або няўдача ў яго атрыманні апісвае службу прызначэння адрасоў, а не стан порта, і шмат якія праекты дазваляюць неаўтэнтыфікаванай прыладзе дасягнуць дапаможнага сервера, адмаўляючы ва ўсім астатнім. Разглядайце табліцу арандавання як доказ пра адрасацыю, а не пра давер.

У такіх расследаваннях змешваюцца тры віды доказаў: ухваленая асоба, ухваленая кіраваная прылада і запіс у інвентарным аркушы. Палітыка порта павінна ясна паказваць, якія з іх яна прымае, бо выкрадзеныя ўліковыя даныя і скапіяваны MAC-адрас задавальняюць розныя.

Што насамрэч вырашае аўтэнтыфікаваны порт

Пры IEEE 802.1X камутатар або пункт доступу выступае аўтэнтыфікатарам і перадае ўліковыя даныя кліента ў цэнтральную службу як кліент RADIUS. Атрыбуты RADIUS 802.1X дазваляюць гэтаму выніку аўтарызаваць порт і, у залежнасці ад праекта, змясціць сеанс у пэўны VLAN або ў пэўны кантэкст уліку. Камутатар выконвае тое, што вяртае сервер палітыкі, толькі калі порт настроены на выкананне.

Менавіта на апошнім пункце ўкараненні ціха правальваюцца. Порт, пакінуты ў рэжыме маніторынгу або журналавання, запісвае меркаванае рашэнне і ўсё роўна прапускае трафік, што ў кожнай справаздачы выглядае як працоўнае ўкараненне — пакуль хтосьці не падлучыць некіраваны маршрутызатар.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Прылады, якія не могуць запускаць кліент аўтэнтыфікацыі, патрабуюць асобнага рашэння, а не суцэльнага выключэння. Абыход аўтэнтыфікацыі MAC, партал рэгістрацыі або выдзелены VLAN для прылад — усё гэта законныя адказы, але кожны трэба выбіраць свядома і дакументаваць. Запішыце, якія класы прылад могуць карыстацца рэзервовым шляхам і хто іх ухваляе. Недакументаваны рэзервовы шлях — гэта менавіта тое, праз што некіраваны маршрутызатар атрымлівае працоўны VLAN без чыёйсьці ўхвалы.

Што можна ўбачыць без расшыфроўкі

Шыфраванне хавае карысную нагрузку, а не паводзіны. Адрасы крыніцы і прызначэння, парты, часіны пакетаў, аб'ём патоку і працягласць сеанса застаюцца бачнымі на мяжы, дзе вы іх збіраеце, і гэтых метаданых часта дастаткова, каб звязаць незнаёмую прыладу з портам і знешнім прызначэннем. Чаго прачытаць нельга — гэта праграма ўнутры тунеля, і ніякі захоп пакетаў не змяняе гэтага без ключоў.

Пастаянны тунель не абавязкова зламысны. Злучэнні паміж пляцоўкамі, агенты рэзервовага капіравання і сродкі аддаленага адміністравання працуюць бесперапынна па задуме, таму паток, які доўжыцца ўсю ноч, сам па сабе нічога не даказвае. Параўнайце яго з роляй, прызначанай гэтаму актыву, і з ухваленай базавай лініяй для яго сегмента.

Абмяжоўвайце выхад свядома. Дазвол парта прызначэння не тое самае, што ўхвала праграмы, якая ім карыстаецца, і здагадка класіфікатара не з'яўляецца рашэннем аб аўтарызацыі. Збірайце метаданыя, патрэбныя для расследавання, з названым уладальнікам і тэрмінам захоўвання, замест таго каб па змаўчанні цалкам захопліваць трафік кожнага карыстальніка.

Лакалізуйце праз межы, якія вы кантралюеце

Перш чым нешта ізаляваць, пацвердзіце, каму належыць прылада і дзе яна падлучана. Затым скарыстайцеся працэсам інцыдэнту, каб абмежаваць порт або адклікаць сеанс, захоўваючы адпаведныя журналы, пакуль доказы яшчэ свежыя. Порт камутатара можна адключыць і зноў уключыць; вытворчае злучэнне, якое абслугоўвае сорак рабочых месцаў, так лёгка не вернеш.

Не нападайце ў адказ на канчатковы пункт і не адключайце агульны порт толькі таму, што сканаванне падказала пратакол VPN. Абодва дзеянні перарываюць законную працу, не паляпшаючы рашэнне аб допуску, якое першапачаткова прапусціла прыладу.

Крытэр прыёмкі канкрэтны: ухвалены канчатковы пункт па-ранейшаму атрымлівае доступ, патрэбны яго ролі, а неўхваленая прылада не можа атрымаць эквівалентны шлях. Маніторынг падтрымлівае гэтую мяжу, і яму не трэба ламаць чыёсьці шыфраванне, каб апраўдаць намаганні.