Γιατί μια κοινόχρηστη έξοδος VPN προκαλεί προειδοποιήσεις σύνδεσης που δεν προκαλέσατε
Ένας αποκλεισμός σύνδεσης είναι συνήθως βαθμολογία κινδύνου, όχι ετυμηγορία για τη σήραγγά σας. Οι κοινόχρηστες έξοδοι αλλάζουν ποιοι άλλοι περιλαμβάνονται σε αυτή τη βαθμολογία και τι τους κοστίζει.
Ανοίξτε ένα γνωστό site μέσω VPN και λάβετε μια επιπλέον πρόκληση, και η δελεαστική εξήγηση είναι ότι ανιχνεύτηκε η σήραγγα. Κάτι ανιχνεύτηκε, αλλά δεν ήσασταν εσείς. Το site βαθμολόγησε ένα σύνολο σημάτων, ένα από τα οποία είναι η διεύθυνση προέλευσης, και αυτή η διεύθυνση μοιράζεται με αγνώστους που μπορεί να δημιουργούσαν αποτυχημένες συνδέσεις ένα λεπτό νωρίτερα. Το να διαβάζετε την απόφαση ως ετυμηγορία για τη σύνδεσή σας παρερμηνεύει για τι χρησιμεύει η βαθμολογία.
Τι μπορεί να λύσει μια διεύθυνση προέλευσης και τι όχι
Μια διεύθυνση IP περιγράφει μια διαδρομή μέσα από το δίκτυο σε μια δεδομένη στιγμή. Δεν ταυτοποιεί ένα πρόσωπο, μια συσκευή ή ακόμη και έναν μόνο λογαριασμό, και με NAT φορέα ή ένα πολυάσχολο pool VPN μπορεί να βρίσκεται μπροστά από χιλιάδες άσχετες συνεδρίες ταυτόχρονα. Ένα site που αντιμετωπίζει τη διεύθυνση ως ταυτότητα στην πραγματικότητα την αντιμετωπίζει ως φήμη, που είναι στατιστική δήλωση και όχι γεγονός.
Δύο άνθρωποι μπορούν να μοιράζονται μια έξοδο και να παράγουν αντίθετα στοιχεία: ο ένας συνδέεται με επιτυχία με δεύτερο παράγοντα, ο άλλος δοκιμάζει σαράντα κωδικούς πρόσβασης. Η διεύθυνση είναι ίδια, οπότε οποιοσδήποτε κανόνας βασίζεται μόνο στη διεύθυνση δεν μπορεί να τους ξεχωρίσει, και όποια αντίδραση προκαλεί ισχύει και για τους δύο.
Αυτό δεν είναι επιχείρημα υπέρ της αγνόησης διευθύνσεων. Είναι επιχείρημα υπέρ του να θυμόμαστε τι μετρά το σήμα, γιατί η περισσότερη απρόσμενη συμπεριφορά γύρω από τις συνδέσεις VPN προέρχεται από έλεγχο που εφαρμόζεται σε λάθος επίπεδο λεπτομέρειας, παρά από λανθασμένη παρατήρηση.
Γιατί ο αποκλεισμός της εξόδου τιμωρεί αγνώστους
Ένας αποκλεισμός σε επίπεδο διεύθυνσης είναι φθηνός στην εφαρμογή και ακριβός στη στόχευση. Η ακτίνα του είναι κάθε συνεδρία πίσω από αυτή τη διεύθυνση, γι' αυτό η συμπεριφορά κοινόχρηστων διευθύνσεων και NAT έχει τη δική της ιστορία στην επιχειρησιακή τεκμηρίωση: η ίδια λογική εμφανίζεται στην εργασία του IETF για κοινόχρηστες διευθύνσεις προέλευσης και τις παρενέργειες του φιλτραρίσματος βάσει διεύθυνσης.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Σκεφτείτε τις δύο αποτυχίες που δημιουργεί ένας αποκλεισμός. Ένας νόμιμος πελάτης πίσω από την ίδια έξοδο απορρίπτεται και ανοίγει ένα αίτημα υποστήριξης που κοστίζει περισσότερο από την κατάχρηση. Ένας πραγματικός επιτιθέμενος μετακινείται στην επόμενη έξοδο σε ένα pool χιλιάδων και συνεχίζει, έχοντας ξοδέψει μόνο μια επανασύνδεση.
Η αναλογικότητα είναι το βήμα που λείπει. Επαναλαμβανόμενες αποτυχημένες συνδέσεις, μια ριπή αυτοματοποιημένων αιτημάτων και μια επικυρωμένη παραβίαση δικαιωμάτων είναι τρία διαφορετικά γεγονότα, και μόνο το δεύτερο είναι εύλογα πρόβλημα με μορφή διεύθυνσης. Η εφαρμογή της ίδιας απαγόρευσης δικτύου σε όλο το site και στα τρία είναι το πώς ένας έλεγχος ασφαλείας γίνεται ουρά υποστήριξης.
Βάλτε την απόφαση εκεί όπου βρίσκονται τα στοιχεία
Οι έλεγχοι σε επίπεδο λογαριασμού ακολουθούν τον λογαριασμό σε όλες τις διευθύνσεις, κάτι που ταιριάζει με την οντότητα που πραγματικά σας ενδιαφέρει. Ο περιορισμός ρυθμού, οι περίοδοι αναμονής μετά από επαναλαμβανόμενες αποτυχίες και η κλιμακωτή ταυτοποίηση για ευαίσθητες ενέργειες λειτουργούν όλα στον λογαριασμό ή στην ενέργεια και όχι στη διαδρομή δικτύου. Αυτό ταιριάζει καλύτερα στην οντότητα που πραγματικά προστατεύετε. Αφαιρεί επίσης το κίνητρο του επιτιθέμενου να κυνηγήσει μια φρέσκια διεύθυνση εξόδου.
Οι οδηγίες του NIST για την ταυτοποίηση αντιμετωπίζουν αυτά ως εισόδους σε μια εκτίμηση κινδύνου και απαριθμούν τη διεύθυνση, τη γεωτοποθεσία και τον χρόνο αιτήματος ανάμεσα στα σήματα, που είναι ακριβώς το πλαίσιο που αξίζει να δανειστείτε: ένα σήμα ενημερώνει μια απόφαση, δεν αντικαθιστά έναν ταυτοποιητή. Διαβάστε αυτή τη λίστα ως εισόδους, όχι ως μενού πραγμάτων προς απαγόρευση. Ο ταυτοποιητής εξακολουθεί να παρέχει την απόδειξη, και τα άλλα σήματα μόνο καθορίζουν πόση τριβή θα τοποθετηθεί γύρω του.
Δύο σχεδιαστικοί περιορισμοί εμποδίζουν την προσέγγιση σε επίπεδο λογαριασμού να γίνει δική της διακοπή. Τα όρια ρυθμού χρειάζονται μια ασφαλή διαδρομή αναθεώρησης ώστε ένας χρήστης να μπορεί να αναφέρει λανθασμένη ταξινόμηση χωρίς να δημοσιεύει διαπιστευτήρια, και οι κλιμακωτές προκλήσεις δεν πρέπει να απαντώνται με κωδικό πρόσβασης ή κωδικό μίας χρήσης που δόθηκε σε μη επαληθευμένη επαφή υποστήριξης.
Πώς φαίνεται από έξω μια δίκαιη πολιτική
Γράψτε ποια απόφαση υποστηρίζει κάθε έλεγχος και μετά ελέγξτε ότι η λεπτομέρεια του ελέγχου ταιριάζει. Οι έλεγχοι διεύθυνσης απαντούν σε ερωτήσεις για κίνηση από ένα δίκτυο· οι έλεγχοι λογαριασμού απαντούν σε ερωτήσεις για έναν λογαριασμό· τα γεγονότα εφαρμογής απαντούν σε ερωτήσεις για συμπεριφορά μετά την ταυτοποίηση. Μια πολιτική που ονομάζει και τα τρία είναι ελέγξιμη, και μία που ονομάζει μόνο κίνηση VPN δεν είναι.
Μετά μετρήστε το αποτέλεσμα και όχι τον αριθμό των κανόνων. Οι μη εξουσιοδοτημένες απόπειρες πρέπει να μειωθούν, οι νόμιμοι χρήστες πρέπει να διατηρήσουν μια υποστηριζόμενη διαδρομή και ο αριθμός των επαφών υποστήριξης ανά χίλιες συνδέσεις δεν πρέπει να αυξηθεί. Ένας αποκλεισμός που βελτιώνει τον πρώτο αριθμό καταστρέφοντας τους άλλους δύο έχει μετακινήσει το πρόβλημα, δεν το έχει λύσει.
Η αποδοχή συνδέσεων VPN και η επιβολή ελέγχων κατάχρησης είναι συμβατοί στόχοι. Η έκδοση που λειτουργεί αντιμετωπίζει τη διεύθυνση προέλευσης ως μία είσοδο ανάμεσα σε πολλές, εφαρμόζει τον στενότερο έλεγχο που ταιριάζει στα στοιχεία και αφήνει μια έντιμη διαδρομή για το άτομο που ταξινομήθηκε λάθος. Η έκδοση που αποτυγχάνει αντιμετωπίζει μια διεύθυνση ως ύποπτο και το αποκαλεί πολιτική.