Hvorfor blokering af VPN-porte ikke stopper uautoriserede tunneler

En firewallregel afviser den trafik, den matcher. Den afviser ikke enhver brug af en forbindelse, den tillader, og det er i netop dette hul, at de fleste politikker mod uautoriserede tunneler fejler. Blokerer man portene for den klient, der var populær for fem år siden, står alt, der kører over 443, urørt, og det siger intet om en enhed, der kan omskrive sine egne ruter. Byg kontrollen omkring beføjelse og destinationer, og læs derefter den trafik, du faktisk tillader.

Hvorfor en portliste ikke er en politik

Porte er et transportlagskoncept, og flere tunnelteknologier bruger slet ingen. Andre deler med vilje en port med almindelig webtrafik, fordi den port er den, der garanteret slipper igennem. En regel, der er bundet til en historisk port, opregner derfor en håndfuld implementeringer i stedet for adfærdsklassen. Den ældes også dårligt: i det øjeblik en udbyder ændrer standardindstillinger, beskriver listen fortiden.

Værre endnu, en vellykket blokering på én port kan læses som bevis for, at hele problemet er løst, hvilket så forsinker de kontroller, der ville have betydet noget.

Protokollnumre og porte er forskellige navnerum

GRE er tildelt IP-protokollnummer 47. Det er ikke TCP-port 47 og ikke UDP-port 47, og et filter skrevet til en port rører det ikke. ESP og AH ligger på protokollnummer 50 og 51 med samme egenskab. Indkapslet trafik kan også gemme sig inde i en tilladt forbindelse, og derfor kan en kategori eller signatur hjælpe, men aldrig certificere formålet alene. Tillid og dækning hører til et bestemt produkt og en bestemt udgivelse, ikke til konceptet.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Den første kommando viser, hvad du faktisk skrev; den anden viser den protokoltabel, stakken kender; den tredje viser, hvor mange sessioner der lige nu bruger webporten. Ingen af dem fortæller, hvad disse sessioner er til. TLS-aflytning er en separat beslutning med sine egne omkostninger til tillid, privatliv og klientkompatibilitet. Det er ikke en forudsætning for at afvise en navngivet destination, og det er heller ikke en garanti for at genkende tunneler.

Styr den beføjelse, enheden har

En enhed, der kan ændre sin egen routingtabel og filtrering, har evner, en almindelig applikation ikke har. Adgangs- og konfigurationsstyring er det, der fjerner den evne, og de virker uanset hvilken port tunnelen ville bruge.

Det betyder, at godkendte tilslutninger får deres erklærede rolle i stedet for ubegrænset tilladelse til at videresende for andre enheder, og det betyder, at installations- og netværksadministrationsrettigheder er en del af politikken i stedet for en eftertanke.

Observer den trafik, der er tilbage. Korrelér enhedsidentitet, tildelt rolle og trafikmetadata, og behandl klassificering som bevis med grænser i stedet for en dom.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

En langvarig krypteret session eller et stort bytetal er ikke bevis på misbrug: backup, supportværktøjer og siteforbindelser ser ens ud. Hold indsamlingen afgrænset til undersøgelsen, og opbevar det, du finder, under den proces, der ejer det.

Gør undtagelserne eksplicitte

Ethvert miljø har destinationer, der skal forblive tilgængelige for opdateringer, godkendelse og gendannelse. Skriv dem ned med et formål og en ejer, og gennemgå dem i stedet for at opdage dem én nedbrud ad gangen.

Når forretningen reelt tillader en bred ekstern tjeneste, vurdér den beføjelse, tjenesten leverer, i stedet for at antage, at destinationsmærkatet gør enhver brug acceptabel.

En undtagelse, der ikke er gennemgået, er et hul med et sagsnummer. En undtagelse med et navn, en begrundelse og en gennemgangsdato er en beslutning.

Accepter med en skriftlig plan, ikke et slogan

Accept har to halvdele: det godkendte arbejde lykkes fortsat, og de specifikke forbudte tilfælde fejler under en autoriseret test. Begge skal skrives før ændringen og gentages efter den.

Medtag endpoint- og politikændringer i den gennemgang, fordi en rute tilføjet på en bærbar computer kan ophæve et filter, der fungerede perfekt ved kanten.

Leverancen er en ejet udgangsgrænse med en kendt liste over resterende risiko. At hævde, at et par lukkede porte afsluttede uautoriseret VPN-brug, er ikke det.