Jak otestovat, co pokrývá nouzový přepínač na kompromitovaném hostu

Spusťte test výpadku, přečtěte výsledek každé vrstvy a podívejte se, kde se nouzový přepínač zastaví: blokuje cesty, ne software, který čte data před šifrováním.

Zapněte nouzový přepínač, odpojte server tunelu a sledujte, co stroj ještě dělá. Test stojí za to spustit, protože odděluje to, co firewall skutečně vynucuje, od toho, co jste předpokládali, a výsledky jsou užší, než naznačuje většina produktových stránek. Nouzový přepínač řídí síťové cesty; neřídí software, který už na zařízení běží. Tuto sekvenci provádím na každém stroji, kde klient tvrdí, že je fail-closed, a trvá asi deset minut.

Začněte u klienta, ne u serveru

Místem vynucení je hostitel, na kterém sedíte: firewall operačního systému, pomocná služba nebo vlastní ovladač klienta VPN. To je důležité, protože vše, co přepínač umí, je omezeno tím, co tato vrstva vidí. Pokud klient blok provádí směrovacím pravidlem a značkou, cokoli s dostatkem oprávnění může přidat vlastní pravidlo; pokud používá tabulku firewallu v jádře, stejná oprávnění mohou tabulku upravit. Síla šifry do této otázky nikdy nevstupuje.

První věc, kterou je třeba zjistit, je, kdo na tomto zařízení vlastní politiku a co smí přepsat. Na spravovaném pracovním stroji je odpovědí obvykle agent organizace pro koncové body a osobní VPN tyto schopnosti neodstraní, ať je tunel nakonfigurován jakkoli.

Krok první: potvrďte blok na cestách, o kterých si myslíte, že je pokrývá

Shoďte tunel na vzdáleném konci, ne u klienta, aby klient stále věřil, že by měl být připojen. Pak vyzkoušejte to, co by vyzkoušel člověk:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Chcete klienta, který selhává rychle a čistě, ne takového, který visí do vypršení časového limitu prohlížeče. Visení obvykle znamená, že pakety tiše zahazuje pravidlo bez odmítnutí, což je přijatelné, ale může také znamenat, že klient nechal zastaralou výchozí trasu namířenou na mrtvé rozhraní. Přečtěte směrovací tabulku, dokud je tunel dole: výchozí trasa stále ukazující na tunelové zařízení a pravidlo firewallu, které blokuje jen nová odchozí spojení, jsou dva různé stavy a jen jeden z nich je fail-closed.

Zopakujte stejné příkazy s povolenou i zakázanou volbou allow-LAN klienta. Tento přepínač je místem většiny překvapení, protože znovu otevírá cestu, kterou zbytek politiky měl zavřít.

Krok druhý: zkontrolujte DNS a IPv6 jako samostatné cesty

Překlad jmen je mezera, která přežije většinu implementací, protože dotaz může odejít jinudy než systémovým resolverem. Ptejte se nástrojem, který ignoruje vaši konfiguraci resolveru, a zároveň zkontrolujte stranu v6:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Prázdné odpovědi na oba dotazy na jméno s tunelem dole jsou výsledek, který chcete. Pokud druhý dotaz odpoví, je dostupná pevně zadaná adresa resolveru a tunel není jediná cesta ze stroje. Pokud uspěje jen požadavek v6, politika pokrývá IPv4 a ignoruje IPv6, což je stejný únik v jiné rodině adres.

Prohlížeče to zvenčí ztěžují čtení, protože prohlížeč nastavený na DNS přes HTTPS řeší dotaz požadavkem HTTPS: dotaz je blokován jen tak, jak je blokován port 443 k tomuto koncovému bodu. Na hostiteli, kde politika povoluje místní podsíť, se tento požadavek stále může dostat k resolveru v LAN.

Krok třetí: oddělte síťovou expozici od expozice koncových bodů

Teď část, kam nedosáhne žádné pravidlo firewallu. Nouzový přepínač blokuje cesty ze stroje; nezastaví software na stroji ve čtení dat před šifrováním a nezastaví tento software v legitimním použití tunelu. Keylogger, škodlivé rozšíření, nechaná odemčená obrazovka, synchronizační klient se širokými právy: to vše přenáší informace přes spojení, které přepínač rád povolí.

Totéž platí pro monitorovací software, který zaměstnavatel nainstaloval záměrně. Blokování tras ho neodstraní a koupě nového serveru VPN není oprava, protože expozice leží před tunelem.

Správce schránky, který nahrává na cloudový účet, to ukazuje ostře. Provoz je šifrovaný, cíl je povolený a nouzový přepínač celou dobu hlásí zdravý stav.

Krok čtvrtý: napište tvrzení, které váš test podporuje

Po testu výpadku můžete uvést konkrétní fakta: které aplikace selhaly, které cesty se zastavily, jak se chovaly DNS a IPv6 a zda blok vydržel, když tunel spadl. Nemůžete tvrdit, že operační systém je čistý, ani že služba na vzdáleném konci udrží vaše přihlášení v soukromí.

Držte oba problémy oddělené a každému dejte vlastní kontrolu:

  • Nouzový přepínač: definovaný požadavek na selhání, ověřený testem výpadku, který opakujete po každé aktualizaci klienta.
  • Důvěra zařízení: podporované aktualizace, ochrana koncových bodů z důvěryhodného zdroje, kontrola nevysvětlených oprávnění a výzev k ověření.
  • Incident: při podezření na kompromitaci postupujte podle procesu platformy nebo organizace; nový server není krok čištění.
  • Zveřejnění: když žádáte o pomoc, nevkládejte soukromé klíče ani celé diagnostické archivy, protože protokoly a snímky obrazovky nesou stejná tajemství jako spojení.

Spusťte sekvenci znovu po další aktualizaci, protože nouzový přepínač je konfigurace, která se pohybuje s verzemi. Test je jediný důkaz, že chování, na které spoléháte, je stále to, které dostáváte.

Související články