Uautoriseret VPN-router: adgangskontrol før dekryptering

En ukendt router, der dukker op på en intern switchport og straks åbner en udgående VPN, har allerede passeret den kontrol, der betyder mest. Adgang afgør, om enheden overhovedet får brugbar netværksadgang, mens dekryptering kun fortæller, hvad den gjorde bagefter. Får man den rækkefølge rigtigt, bliver et umuligt inspektionsproblem til et rutinemæssigt portpolitikspørgsmål. Det er også forskellen mellem en reversibel handling og et nedbrud.

Adgang afgøres ved porten

Spørg, hvordan enheden fik brugbar forbindelse, før du spørger, hvad dens tunnel bærer. En router, der er sat i en aktiv vægport, eller en trådløs klient, der er logget på et åbent SSID, blev lukket ind af den politik, som porten eller SSID'et anvender. Hvis den politik lyder "alt, der sættes i, får et fungerende VLAN", er VPN'et et symptom og ikke sårbarheden.

En DHCP-lease er ikke en autorisationspost. At modtage en adresse, eller ikke at få en, beskriver adressetildelingstjenesten, ikke portens tilstand, og mange designs lader en uautentificeret enhed nå en hjælpetjeneste, mens alt andet afvises. Behandl lease-tabellen som bevis om adressering, ikke om tillid.

Tre slags beviser blandes sammen i disse undersøgelser: en godkendt person, en godkendt administreret enhed og en post på et aktivark. Portpolitikken bør være tydelig om, hvilke af dem den accepterer, fordi en stjålet legitimationsoplysning og en klonet MAC-adresse opfylder forskellige.

Hvad en autentificeret port egentlig afgør

Med IEEE 802.1X er switchen eller accesspunktet autentifikatoren, og den videresender supplikantens legitimationsoplysninger til en central tjeneste som RADIUS-klient. RADIUS 802.1X-attributterne lader det resultat autorisere porten og, afhængigt af designet, placere sessionen i et bestemt VLAN eller en bestemt regnskabskontekst. Switchen håndhæver kun det, politikeserveren returnerer, hvis porten er konfigureret til at håndhæve det.

Det er i den sidste klausul, at udrulninger stille fejler. En port, der er efterladt i overvågnings- eller logtilstand, registrerer den påtænkte beslutning og sender stadig trafik igennem, hvilket ser ud som en fungerende udrulning i enhver rapport, indtil nogen sætter en uadministreret router i.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Enheder, der ikke kan køre en supplikant, har brug for en særskilt beslutning, ikke en generel undtagelse. Omgåelse af MAC-autentificering, en registreringsportal eller et dedikeret enheds-VLAN er alle legitime svar, men hvert af dem skal vælges bevidst og dokumenteres. Skriv ned, hvilke enhedsklasser der må bruge fallbacken, og hvem der godkender dem. En udokumenteret fallback er præcis, hvordan en uadministreret router ender med et fungerende VLAN uden nogens godkendelse.

Hvad du kan se uden at dekryptere

Kryptering skjuler nyttelast, ikke adfærd. Kilde- og destinationsadresser, porte, pakketiming, flowvolumen og sessionsvarighed forbliver synlige ved den grænse, hvor du indsamler dem, og de metadata er ofte nok til at knytte en ukendt enhed til en port og en udgående destination. Det, du ikke kan læse, er applikationen inde i tunnelen, og ingen mængde pakkefangst ændrer det uden nøgler.

En vedvarende tunnel er ikke automatisk ondsindet. Site-til-site-forbindelser, backup-agenter og fjernadministrationsværktøjer kører kontinuerligt efter design, så et flow, der varer hele natten, beviser intet i sig selv. Sammenlign det med den rolle, der er tildelt aktivet, og med den godkendte baseline for dets segment.

Afgræns udgående trafik med vilje. At tillade en destinationsport er ikke det samme som at godkende den applikation, der bruger den, og en klassifikators gæt er ikke en autorisationsbeslutning. Indsaml de metadata, du har brug for til undersøgelsen, med en navngivet ejer og et opbevaringsvindue, i stedet for som standard at fange al trafik fra hver bruger.

Inddæm gennem den grænse, du kontrollerer

Før du isolerer noget, skal du bekræfte, hvem der ejer enheden, og hvor den er tilsluttet. Brug derefter incidentprocessen til at begrænse porten eller tilbagekalde sessionen, mens du bevarer de relevante logs, så længe beviserne er friske. En switchport kan deaktiveres og aktiveres igen; en produktionsuplink, der betjener fyrre skriveborde, kan ikke rulles tilbage lige så let.

Angrib ikke slutpunktet til gengæld, og deaktiver ikke en delt port, fordi en scanning antydede en VPN-protokol. Begge handlinger afbryder legitimt arbejde uden at forbedre den adgangsbeslutning, der lukkede enheden ind i første omgang.

Accepttesten er konkret: et godkendt slutpunkt får stadig den adgang, dets rolle kræver, og en ikke-godkendt enhed kan ikke få en tilsvarende vej. Overvågning understøtter den grænse, og den behøver ikke bryde nogens kryptering for at være besværet værd.