Γιατί ο αποκλεισμός θυρών VPN δεν σταματά τα μη εξουσιοδοτημένα τούνελ

Ένας κανόνας τείχους προστασίας απορρίπτει την κίνηση με την οποία ταιριάζει. Δεν απορρίπτει κάθε χρήση μιας σύνδεσης που επιτρέπει, και σε αυτό ακριβώς το κενό αποτυγχάνουν οι περισσότερες πολιτικές κατά των μη εξουσιοδοτημένων τούνελ. Ο αποκλεισμός των θυρών του πελάτη που ήταν δημοφιλής πριν από πέντε χρόνια αφήνει ανέπαφο ό,τι περνά από τη 443 και δεν λέει τίποτα για μια συσκευή που μπορεί να ξαναγράψει τις δικές της διαδρομές. Χτίστε τον έλεγχο γύρω από την εξουσία και τους προορισμούς και μετά διαβάστε τις ροές που πραγματικά επιτρέπετε.

Γιατί μια λίστα θυρών δεν είναι πολιτική

Οι θύρες είναι μια έννοια του επιπέδου μεταφοράς και αρκετές τεχνολογίες τούνελ δεν χρησιμοποιούν καμία. Άλλες μοιράζονται σκόπιμα μια θύρα με τη συνηθισμένη κίνηση ιστού, επειδή αυτή η θύρα είναι εκείνη που περνά εγγυημένα. Ένας κανόνας που βασίζεται σε μια ιστορική θύρα απαριθμεί επομένως μια χούφτα υλοποιήσεις αντί για την κλάση συμπεριφοράς. Γερνάει επίσης άσχημα: τη στιγμή που ένας πάροχος αλλάζει τις προεπιλογές, η λίστα περιγράφει το παρελθόν.

Ακόμη χειρότερα, ένας επιτυχημένος αποκλεισμός σε μία θύρα μπορεί να διαβαστεί ως απόδειξη ότι όλο το πρόβλημα λύθηκε, κάτι που καθυστερεί τους ελέγχους που θα είχαν σημασία.

Οι αριθμοί πρωτοκόλλου και οι θύρες είναι διαφορετικοί χώροι ονομάτων

Στο GRE έχει εκχωρηθεί ο αριθμός πρωτοκόλλου IP 47. Δεν είναι θύρα TCP 47 και δεν είναι θύρα UDP 47, και ένα φίλτρο γραμμένο για θύρα δεν το αγγίζει. Τα ESP και AH βρίσκονται στους αριθμούς πρωτοκόλλου 50 και 51 με την ίδια ιδιότητα. Η ενθυλακωμένη κίνηση μπορεί επίσης να κρυφτεί μέσα σε μια επιτρεπόμενη σύνδεση, γι’ αυτό μια κατηγορία ή μια υπογραφή μπορεί να βοηθήσει, αλλά ποτέ δεν πιστοποιεί τον σκοπό από μόνη της. Η εμπιστοσύνη και η κάλυψη ανήκουν σε ένα συγκεκριμένο προϊόν και μια έκδοση, όχι στην έννοια.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Η πρώτη εντολή δείχνει τι γράψατε πραγματικά· η δεύτερη δείχνει τον πίνακα πρωτοκόλλων που γνωρίζει η στοίβα· η τρίτη δείχνει πόσες συνεδρίες χρησιμοποιούν τη θύρα ιστού αυτή τη στιγμή. Καμία από αυτές δεν λέει για τι χρησιμεύουν αυτές οι συνεδρίες. Η υποκλοπή TLS είναι μια ξεχωριστή απόφαση με δικά της κόστη εμπιστοσύνης, ιδιωτικότητας και συμβατότητας με τους πελάτες. Δεν είναι προϋπόθεση για να αρνηθείτε έναν ονομασμένο προορισμό και δεν είναι ούτε εγγύηση αναγνώρισης τούνελ.

Ελέγξτε την εξουσία που έχει η συσκευή

Μια συσκευή που μπορεί να αλλάξει τον δικό της πίνακα δρομολόγησης και το φιλτράρισμα έχει δυνατότητες που μια συνηθισμένη εφαρμογή δεν έχει. Η διαχείριση εισδοχής και διαμόρφωσης είναι αυτό που αφαιρεί αυτή τη δυνατότητα και ενεργεί ανεξάρτητα από τη θύρα που θα χρησιμοποιούσε το τούνελ.

Αυτό σημαίνει ότι τα εγκεκριμένα συνημμένα λαμβάνουν τον δηλωμένο ρόλο τους αντί για απεριόριστη άδεια προώθησης για άλλες συσκευές, και σημαίνει ότι τα δικαιώματα εγκατάστασης και διαχείρισης δικτύου είναι μέρος της πολιτικής αντί για ύστερη σκέψη.

Παρατηρήστε τις ροές που παραμένουν. Συσχετίστε την ταυτότητα της συσκευής, τον εκχωρημένο ρόλο και τα μεταδεδομένα της ροής και αντιμετωπίστε την ταξινόμηση ως απόδειξη με όρια, όχι ως ετυμηγορία.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Μια μακρόβια κρυπτογραφημένη συνεδρία ή ένας μεγάλος αριθμός byte δεν είναι απόδειξη κατάχρησης: τα αντίγραφα ασφαλείας, τα εργαλεία υποστήριξης και οι ζεύξεις τοποθεσιών φαίνονται ίδια. Κρατήστε τη συλλογή περιορισμένη στην έρευνα και διατηρήστε ό,τι βρείτε υπό τη διαδικασία που το κατέχει.

Κάντε τις εξαιρέσεις ρητές

Κάθε περιβάλλον έχει προορισμούς που πρέπει να παραμένουν προσβάσιμοι για ενημερώσεις, έλεγχο ταυτότητας και ανάκτηση. Γράψτε τους με σκοπό και υπεύθυνο και αναθεωρήστε τους αντί να τους ανακαλύπτετε μία διακοπή τη φορά.

Όταν η επιχείρηση επιτρέπει πραγματικά μια ευρεία εξωτερική υπηρεσία, αξιολογήστε την εξουσία που παρέχει αυτή η υπηρεσία αντί να υποθέσετε ότι η ετικέτα προορισμού κάνει κάθε χρήση αποδεκτή.

Μια εξαίρεση που δεν έχει αναθεωρηθεί είναι μια τρύπα με αριθμό δελτίου. Μια εξαίρεση με όνομα, λόγο και ημερομηνία αναθεώρησης είναι μια απόφαση.

Αποδεχτείτε με γραπτό σχέδιο, όχι με σλόγκαν

Η αποδοχή έχει δύο μισά: η εγκεκριμένη εργασία εξακολουθεί να πετυχαίνει και οι συγκεκριμένες απαγορευμένες περιπτώσεις αποτυγχάνουν σε ένα εξουσιοδοτημένο τεστ. Και τα δύο πρέπει να γραφτούν πριν από την αλλαγή και να επαναληφθούν μετά από αυτήν.

Συμπεριλάβετε σε αυτή την αναθεώρηση τις αλλαγές τελικών σημείων και πολιτικής, γιατί μια διαδρομή που προστίθεται σε ένα φορητό υπολογιστή μπορεί να ακυρώσει ένα φίλτρο που λειτουργούσε άψογα στην άκρη.

Το παραδοτέο είναι ένα ιδιόκτητο όριο εξόδου με γνωστή λίστα υπολειπόμενου κινδύνου. Το να ισχυριστεί κανείς ότι μερικές κλειστές θύρες τερμάτισαν τη μη εξουσιοδοτημένη χρήση VPN δεν είναι αυτό.