Neovlašteni VPN ruter: kontrola pristupa prije dešifriranja

Nepoznati ruter koji se pojavi na internom portu prekidača i odmah otvori odlazni VPN već je prošao kontrolu koja je najvažnija. Pristup odlučuje hoće li uređaj uopće dobiti upotrebljiv mrežni pristup, dok dešifriranje samo govori šta je učinio poslije. Ispravan redoslijed pretvara nemoguć problem inspekcije u rutinsko pitanje politike portova. To je i razlika između reverzibilne radnje i prekida rada.

Pristup se odlučuje na portu

Pitajte kako je uređaj dobio upotrebljivu povezanost prije nego što pitate šta nosi njegov tunel. Ruter priključen na aktivni zidni port, ili bežični klijent koji se pridružio otvorenom SSID-u, primljen je politikom koju taj port ili SSID primjenjuje. Ako ta politika glasi "sve što se priključi dobija radni VLAN", VPN je simptom, a ne ranjivost.

DHCP zakup nije zapis o autorizaciji. Primanje adrese, ili neuspjeh da je primi, opisuje servis za dodjelu adresa, a ne stanje porta, i mnogi dizajni dopuštaju neautentificiranom uređaju da dosegne pomoćni poslužitelj dok odbijaju sve ostalo. Tabelu zakupa tretirajte kao dokaz o adresiranju, a ne o povjerenju.

U ovim istragama miješaju se tri vrste dokaza: odobrena osoba, odobren upravljani uređaj i unos u inventarnom listu. Politika porta treba biti izričita o tome koje od njih prihvata, jer ukradena vjerodajnica i klonirana MAC adresa zadovoljavaju različite.

Šta autentificirani port zaista odlučuje

S IEEE 802.1X, prekidač ili pristupna točka je autentifikator i prosljeđuje vjerodajnice klijenta centralnom servisu kao RADIUS klijent. RADIUS 802.1X atributi omogućuju da taj rezultat autorizira port i, ovisno o dizajnu, smjesti sesiju u određeni VLAN ili računovodstveni kontekst. Prekidač provodi ono što poslužitelj politike vrati samo ako je port konfiguriran da to provodi.

Upravo na toj posljednjoj klauzuli implementacije tiho propadaju. Port ostavljen u načinu nadzora ili evidentiranja bilježi bi li odluku i dalje propušta saobraćaj, što u svakom izvještaju izgleda kao ispravna implementacija—dok neko ne priključi neupravljani ruter.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Uređaji koji ne mogu pokrenuti klijenta za autentifikaciju trebaju zasebnu odluku, a ne opće izuzeće. Zaobilaženje MAC autentifikacije, registracijski portal ili namjenski VLAN za uređaje legitimni su odgovori, ali svaki mora biti odabran svjesno i dokumentiran. Zapišite koje klase uređaja smiju koristiti rezervni put i ko ih odobrava. Nedokumentirani rezervni put upravo je način na koji neupravljani ruter dobije radni VLAN bez ičijeg odobrenja.

Šta možete vidjeti bez dešifriranja

Enkripcija skriva sadržaj, ne ponašanje. Izvorišne i odredišne adrese, portovi, tajming paketa, obim toka i trajanje sesije ostaju vidljivi na granici gdje ih prikupljate, a ti metapodaci često su dovoljni da povežu nepoznati uređaj s portom i odlaznim odredištem. Ono što ne možete pročitati je aplikacija unutar tunela, i nijedno hvatanje paketa to ne mijenja bez ključeva.

Stalni tunel nije automatski zlonamjeran. Veze između lokacija, agenti za sigurnosne kopije i alati za daljinsko upravljanje rade neprekidno po dizajnu, pa tok koji traje cijelu noć sam po sebi ništa ne dokazuje. Uporedite ga s ulogom dodijeljenom toj imovini i s odobrenom osnovnom linijom za njen segment.

Ograničite izlazni saobraćaj namjerno. Dopuštanje odredišnog porta nije isto što i odobravanje aplikacije koja ga koristi, a pretpostavka klasifikatora nije odluka o autorizaciji. Prikupite metapodatke potrebne za istragu, s imenovanim vlasnikom i rokom čuvanja, umjesto da po defaultu snimate cijeli saobraćaj svakog korisnika.

Sadržajte kroz granicu koju kontrolirate

Prije nego što bilo šta izolirate, potvrdite ko posjeduje uređaj i gdje je priključen. Zatim kroz proces za incidente ograničite port ili opozovite sesiju, čuvajući relevantne zapise dok su dokazi još svježi. Port prekidača može se onemogućiti i ponovo omogućiti; proizvodni uzlazni link koji služi četrdeset radnih mjesta ne može se tako lako poništiti.

Ne uzvraćajte napad na krajnju točku i ne onemogućujte dijeljeni port zato što je skeniranje predložilo VPN protokol. Obje radnje prekidaju legitiman rad bez poboljšanja odluke o pristupu koja je uređaj uopšte pustila unutra.

Test prihvatanja je konkretan: odobrena krajnja točka i dalje dobija pristup koji njena uloga zahtijeva, a neodobreni uređaj ne može dobiti ekvivalentan put. Nadzor podržava tu granicu i ne mora nikome razbiti enkripciju da bi bio vrijedan truda.