Неоторизиран VPN рутер: контрол на достъпа преди дешифриране

Неизвестен рутер, който се появи на вътрешен порт на комутатор и веднага отвори изходящ VPN тунел, вече е преминал през най-важния контрол. Достъпът решава дали устройството ще получи изобщо използваем мрежов достъп, докато дешифрирането само ви казва какво е направило след това. Правилният ред превръща невъзможния инспекционен проблем в рутинен въпрос за портова политика. Това е и разликата между обратимо действие и прекъсване.

Достъпът се решава на порта

Попитайте как устройството е получило използваема свързаност, преди да питате какво носи тунелът му. Рутер, включен в активен стенен порт, или безжичен клиент, присъединил се към отворена SSID, е бил допуснат от политиката, която този порт или SSID прилага. Ако тази политика е „всичко, което се включи, получава работещ VLAN“, VPN е симптом, а не уязвимостта.

DHCP наемът не е запис за оторизация. Получаването на адрес или неуспехът да получите такъв описва услугата за разпределяне на адреси, а не състоянието на порта, и много проекти позволяват на неудостоверено устройство да достигне до помощен сървър, като отказват всичко останало. Третирайте таблицата с наемите като доказателство за адресиране, а не за доверие.

В такива разследвания се смесват три вида доказателства: одобрено лице, одобрено управляемо устройство и запис в инвентарен лист. Портовата политика трябва да е изрична кое от тях приема, защото откраднато удостоверение и клониран MAC адрес удовлетворяват различни.

Какво всъщност решава удостовереният порт

При IEEE 802.1X комутаторът или точката за достъп е удостоверителят и препраща удостоверенията на клиента към централна услуга като клиент на RADIUS. Атрибутите RADIUS 802.1X позволяват този резултат да оторизира порта и, в зависимост от проекта, да постави сесията в определен VLAN или контекст за отчитане. Комутаторът прилага това, което върне сървърът на политиките, само ако портът е конфигуриран да го прилага.

Именно в последното изречение внедряванията тихо се провалят. Порт, оставен в режим на наблюдение или журналиране, записва предполагаемото решение и продължава да пропуска трафик, което във всеки доклад изглежда като работещо внедряване — докато някой не включи неуправляван рутер.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Устройствата, които не могат да стартират клиент за удостоверяване, се нуждаят от отделно решение, а не от общо изключение. Заобикалянето на MAC удостоверяване, портал за регистрация или отделен VLAN за устройства са все законни отговори, но всеки трябва да бъде избран съзнателно и документиран. Запишете кои класове устройства могат да използват резервния вариант и кой ги одобрява. Недокументираният резервен вариант е точно начинът, по който неуправляван рутер получава работещ VLAN без ничие одобрение.

Какво можете да видите без дешифриране

Шифрирането скрива полезния товар, а не поведението. Адресите на източника и местоназначението, портовете, времето на пакетите, обемът на потока и продължителността на сесията остават видими на границата, където ги събирате, и тези метаданни често са достатъчни, за да свържат непознато устройство с порт и изходяща дестинация. Това, което не можете да прочетете, е приложението вътре в тунела, и никакво прихващане на пакети не променя това без ключове.

Постоянният тунел не е автоматично злонамерен. Връзките между сайтове, агентите за архивиране и инструментите за отдалечено администриране работят непрекъснато по проект, така че поток, който трае цяла нощ, сам по себе си не доказва нищо. Сравнете го с ролята, възложена на този актив, и с одобрената базова линия за неговия сегмент.

Ограничавайте изходящия трафик съзнателно. Разрешаването на порт за местоназначение не е същото като одобряване на приложението, което го използва, а предположението на класификатора не е решение за оторизация. Събирайте метаданните, необходими за разследването, с посочен собственик и срок за съхранение, вместо по подразбиране да прихващате целия трафик на всеки потребител.

Ограничете през границата, която контролирате

Преди да изолирате каквото и да е, потвърдете чие е устройството и къде е включено. След това използвайте процеса за инциденти, за да ограничите порта или да отмените сесията, като запазите съответните журнали, докато доказателствата са още свежи. Порт на комутатор може да бъде изключен и включен отново; производствена връзка, която обслужва четиридесет бюра, не може да бъде върната толкова лесно.

Не отвръщайте с атака срещу крайната точка и не изключвайте споделен порт само защото сканиране е подсказало VPN протокол. И двете действия прекъсват законна работа, без да подобрят решението за достъп, което първоначално е пуснало устройството.

Тестът за приемане е конкретен: одобрена крайна точка все още получава достъпа, който ролята ѝ изисква, а неодобрено устройство не може да получи еквивалентен път. Мониторингът подкрепя тази граница и не е нужно да чупи нечие шифриране, за да си заслужава усилието.