Вашият VPN шлюз е компрометиран: какво всъщност е изложено

VPN шлюзът стои в края на тунела, който защитава, което означава, че прекратява това криптиране, вместо да го пропуска през себе си. Ако нападател контролира хоста, тунелът отвън продължава да изглежда здрав, докато машината по средата вече не вдъхва доверие. Полезният въпрос не е дали всичко е разшифровано. А дали този хост е можел да види, до какво е можел да достигне и какви тайни всъщност са били съхранени на него. Тези три отговора се различават силно и реакцията се различава заедно с тях.

Шлюзът прекратява тунела, затова вижда вътре в него

Криптирането във VPN е хоп по хоп, а шлюзът е хопът. Той сваля външния слой, прилага политика и препраща вътрешния пакет, така че всеки пренасян пакет в някакъв момент съществува в четим вид в паметта на този хост. Това е дизайнът, а не дефект. Затова компрометирането на шлюза е различно събитие от компрометирането на криптографията на тунела.

Първото, което нападателят печели, е позиция: възможност да наблюдава пренасяния трафик, да променя препращането или да отговаря вместо бекенд. Следващото зависи от хоста и точно тук хората надценяват. Достъпът само до шлюза не предава TLS сесийните ключове на браузъра, защото те никога не са били на шлюза.

Три излагания с различен размер

Разделете въпроса на пренасян трафик, достъпни системи и съхранени тайни, после отговорете на всяко поотделно.

Средният ред е този, който се пропуска. Шлюзът обикновено има маршрут към частни мрежи и адрес на източник, на който бекендовете вече вярват, затова интересният въпрос е какво позволяват тези бекендове от този адрес. Тясната политика за клиентски достъп е добра мярка, но нападател на хоста не е ограничен до интерфейса, който би използвал нормален клиент.

Долният ред решава колко дълго ще трае инцидентът. Сървърен ключ и CA ключ имат напълно различни радиуси на поражение, както и локален администраторски акаунт и токен за мониторинг само за четене.

HTTPS вътре в тунела си остава HTTPS

TLS на приложението се прекратява в приложението, а не на VPN шлюза, затова компрометиран шлюз наблюдава шифротекст за тези потоци. Това е реално ограничение на това, което нападателят получава, и си струва да се каже направо, защото противоположното твърдение разпространява паника и лоши решения. Две условия го нарушават. Ако по пътя стои компонент за инспекция с доверен сертификат, шлюзът може да вижда открит текст по дизайн. Ако крайната точка на приложението е компрометирана, тунелът е без значение.

Затова отговорът какво са видели е условен и трябва да се запише като условия, а не да се обявява като присъда.

Какво трябва да се промени, преди да му се доверите отново

Преизграждането на хоста е необходимо и рядко достатъчно. Нападател, който все още държи административен акаунт, идентификационни данни за внедряване или ключ за подписване, може да върне хоста както му е удобно. Възстановяването трябва да започне от административен път, който не зависи от компрометираната машина.

Преди да решите какво да ротирате, направете инвентар на това, което е било на нея. Ключове, сервизни акаунти, API токени, локални потребители, планирани задачи, доверителни връзки и конвейерът за внедряване са всички кандидати и всеки има собственик, който трябва да го потвърди.

ss -lntup
getent passwd
crontab -l
ip route show table all

Този списък е най-бързият начин да видите какво е предлагал хостът и до къде е можел да достигне. Първо запазете доказателствата, по процеса на собственика на реакцията, защото преизграждането унищожава точно това, което е нужно на разследването. NIST SP 800-61 Ревизия 3 разглежда подготовката, откриването, реакцията и възстановяването като части от един процес за риск, а не като инструкция за рестартиране.

Граници, които правят следващия случай по-евтин

Четири граници си струва да се изградят, преди да ви потрябват. Дръжте независим път за възстановяване, който не се удостоверява през шлюза. Дръжте правомощията за подписване отделно от хоста, който обслужва трафика. Ограничете какво може да достигне шлюзът, така че компрометиран шлюз да не е автоматично компрометирана мрежа за управление. И записвайте кой притежава всяка идентификационна тайна, така че ротацията да е едно телефонно обаждане, а не археологически проект.

Никое от тези не предотвратява компрометиране. Те го ограничават и правят разликата между лоша седмица и лошо тримесечие.