Μη εξουσιοδοτημένος δρομολογητής VPN: έλεγχος αποδοχής πριν από την αποκρυπτογράφηση

Ένας άγνωστος δρομολογητής που εμφανίζεται σε εσωτερική θύρα μεταγωγέα και ανοίγει αμέσως ένα εξερχόμενο VPN έχει ήδη περάσει τον έλεγχο που μετράει περισσότερο. Η αποδοχή αποφασίζει αν η συσκευή θα αποκτήσει καθόλου χρησιμοποιήσιμη πρόσβαση στο δίκτυο, ενώ η αποκρυπτογράφηση λέει μόνο τι έκανε μετά. Η σωστή σειρά μετατρέπει ένα αδύνατο πρόβλημα επιθεώρησης σε συνηθισμένο ζήτημα πολιτικής θυρών. Είναι επίσης η διαφορά ανάμεσα σε αναστρέψιμη ενέργεια και διακοπή λειτουργίας.

Η αποδοχή κρίνεται στη θύρα

Ρωτήστε πώς απέκτησε η συσκευή χρησιμοποιήσιμη συνδεσιμότητα πριν ρωτήσετε τι μεταφέρει το τούνελ της. Ένας δρομολογητής συνδεδεμένος σε ενεργή θύρα τοίχου ή ένας ασύρματος πελάτης που εντάχθηκε σε ανοιχτό SSID έγινε δεκτός από την πολιτική που εφαρμόζει αυτή η θύρα ή αυτό το SSID. Αν η πολιτική λέει «ό,τι κουμπώνει παίρνει λειτουργικό VLAN», το VPN είναι σύμπτωμα και όχι η ευπάθεια.

Μια μίσθωση DHCP δεν είναι αρχείο εξουσιοδότησης. Το να λάβει κανείς διεύθυνση ή να μη λάβει περιγράφει την υπηρεσία εκχώρησης διευθύνσεων, όχι την κατάσταση της θύρας, και πολλά σχέδια αφήνουν μια μη πιστοποιημένη συσκευή να φτάσει σε βοηθητική υπηρεσία ενώ απορρίπτουν όλα τα υπόλοιπα. Αντιμετωπίστε τον πίνακα μισθώσεων ως απόδειξη για τη διευθυνσιοδότηση, όχι για την εμπιστοσύνη.

Σε αυτές τις έρευνες συγχέονται τρία είδη αποδείξεων: ένα εγκεκριμένο πρόσωπο, μια εγκεκριμένη διαχειριζόμενη συσκευή και μια εγγραφή σε φύλλο απογραφής. Η πολιτική θύρας πρέπει να δηλώνει ρητά ποια από αυτά δέχεται, γιατί ένα κλεμμένο διαπιστευτήριο και μια κλωνοποιημένη διεύθυνση MAC ικανοποιούν διαφορετικά.

Τι αποφασίζει στην πραγματικότητα μια πιστοποιημένη θύρα

Με το IEEE 802.1X, ο μεταγωγέας ή το σημείο πρόσβασης είναι ο πιστοποιητής και προωθεί τα διαπιστευτήρια του αιτούντος σε κεντρική υπηρεσία ως πελάτης RADIUS. Τα γνωρίσματα RADIUS 802.1X επιτρέπουν στο αποτέλεσμα να εξουσιοδοτήσει τη θύρα και, ανάλογα με το σχέδιο, να τοποθετήσουν τη συνεδρία σε συγκεκριμένο VLAN ή σε συγκεκριμένο πλαίσιο λογιστικής. Ο μεταγωγέας επιβάλλει ό,τι επιστρέφει ο διακομιστής πολιτικής μόνο αν η θύρα είναι ρυθμισμένη να το επιβάλλει.

Σε αυτή την τελευταία ρήτρα αποτυγχάνουν σιωπηλά οι αναπτύξεις. Μια θύρα που μένει σε λειτουργία παρακολούθησης ή καταγραφής καταγράφει την υποτιθέμενη απόφαση και εξακολουθεί να περνά κίνηση, κάτι που σε κάθε αναφορά μοιάζει με λειτουργική ανάπτυξη, μέχρι να κουμπώσει κάποιος έναν μη διαχειριζόμενο δρομολογητή.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Οι συσκευές που δεν μπορούν να εκτελέσουν αιτούντα χρειάζονται ξεχωριστή απόφαση, όχι γενική εξαίρεση. Η παράκαμψη πιστοποίησης MAC, μια πύλη εγγραφής ή ένα αποκλειστικό VLAN συσκευών είναι όλες νόμιμες απαντήσεις, αλλά καθεμία πρέπει να επιλεγεί συνειδητά και να τεκμηριωθεί. Γράψτε ποιες κατηγορίες συσκευών μπορούν να χρησιμοποιούν την εναλλακτική διαδρομή και ποιος τις εγκρίνει. Μια ατεκμηρίωτη εναλλακτική διαδρομή είναι ακριβώς το πώς ένας μη διαχειριζόμενος δρομολογητής καταλήγει με λειτουργικό VLAN χωρίς την έγκριση κανενός.

Τι μπορείτε να δείτε χωρίς αποκρυπτογράφηση

Η κρυπτογράφηση κρύβει το περιεχόμενο, όχι τη συμπεριφορά. Οι διευθύνσεις προέλευσης και προορισμού, οι θύρες, ο χρονισμός των πακέτων, ο όγκος ροής και η διάρκεια συνεδρίας παραμένουν ορατά στο όριο όπου τα συλλέγετε, και αυτά τα μεταδεδομένα συχνά αρκούν για να συνδέσουν μια άγνωστη συσκευή με μια θύρα και έναν εξερχόμενο προορισμό. Αυτό που δεν μπορείτε να διαβάσετε είναι η εφαρμογή μέσα στο τούνελ, και καμία σύλληψη πακέτων δεν το αλλάζει αυτό χωρίς κλειδιά.

Ένα επίμονο τούνελ δεν είναι αυτόματα κακόβουλο. Οι συνδέσεις μεταξύ τοποθεσιών, οι πράκτορες αντιγράφων ασφαλείας και τα εργαλεία απομακρυσμένης διαχείρισης εκτελούνται συνεχώς εκ σχεδιασμού, οπότε μια ροή που διαρκεί όλη τη νύχτα δεν αποδεικνύει τίποτα από μόνη της. Συγκρίνετέ την με τον ρόλο που έχει ανατεθεί σε αυτό το περιουσιακό στοιχείο και με την εγκεκριμένη βάση αναφοράς για το τμήμα του.

Περιορίστε την εξερχόμενη κίνηση σκόπιμα. Το να επιτρέπετε μια θύρα προορισμού δεν είναι το ίδιο με το να εγκρίνετε την εφαρμογή που τη χρησιμοποιεί, και η εικασία ενός ταξινομητή δεν είναι απόφαση εξουσιοδότησης. Συλλέξτε τα μεταδεδομένα που χρειάζεστε για την έρευνα, με ονομαστικό υπεύθυνο και περίοδο διατήρησης, αντί να καταγράφετε εξ ορισμού όλη την κίνηση κάθε χρήστη.

Περιορίστε μέσα από το όριο που ελέγχετε

Πριν απομονώσετε οτιδήποτε, επιβεβαιώστε ποιος κατέχει τη συσκευή και πού είναι συνδεδεμένη. Έπειτα χρησιμοποιήστε τη διαδικασία περιστατικού για να περιορίσετε τη θύρα ή να ανακαλέσετε τη συνεδρία, διατηρώντας τα σχετικά αρχεία καταγραφής όσο τα στοιχεία είναι ακόμη φρέσκα. Μια θύρα μεταγωγέα μπορεί να απενεργοποιηθεί και να ενεργοποιηθεί ξανά· μια παραγωγική σύνδεση ανόδου που εξυπηρετεί σαράντα γραφεία δεν αναιρείται το ίδιο εύκολα.

Μην αντεπιτεθείτε στο τελικό σημείο και μην απενεργοποιήσετε μια κοινόχρηστη θύρα επειδή μια σάρωση υπέδειξε πρωτόκολλο VPN. Και οι δύο ενέργειες διακόπτουν νόμιμη εργασία χωρίς να βελτιώνουν την απόφαση αποδοχής που άφησε τη συσκευή να μπει εξαρχής.

Το κριτήριο αποδοχής είναι συγκεκριμένο: ένα εγκεκριμένο τελικό σημείο εξακολουθεί να παίρνει την πρόσβαση που απαιτεί ο ρόλος του, και μια μη εγκεκριμένη συσκευή δεν μπορεί να αποκτήσει ισοδύναμη διαδρομή. Η παρακολούθηση στηρίζει αυτό το όριο και δεν χρειάζεται να σπάσει την κρυπτογράφηση κανενός για να αξίζει τον κόπο.