Nola probatu segurtasun-etengailu batek host konprometitu batean zer estaltzen duen

Piztu segurtasun-etengailua, jarri tunel-zerbitzaria lineaz kanpo eta begiratu makinak oraindik zer egiten duen. Proba egitea merezi du, suebakiak benetan zer betearazten duen eta zuk uste zenuena bereizten dituelako, eta emaitzak produktu-orri gehienek iradokitzen dutena baino estuagoak dira. Segurtasun-etengailuak sare-bideak zuzentzen ditu; ez ditu gailuan jada exekutatzen ari diren softwareak zuzentzen. Sekuentzia hau exekutatzen dut bezeroak fail-closed dela dioen edozein makinatan, eta hamar minutu inguru behar ditu.

Hasi bezeroan, ez zerbitzarian

Betearazpen-puntua eserita zauden hosta da: sistema eragilearen suebakia, laguntza-zerbitzu bat edo VPN bezeroaren kontrolatzailea bera. Garrantzitsua da, etengailuak egin dezakeen guztia geruza horrek ikusten duenak mugatzen duelako. Bezeroak blokeoa bideratze-arau batekin eta marka batekin inplementatzen badu, nahikoa pribilegio duen edozerk bere araua gehi dezake; nukleoaren suebaki-taula erabiltzen badu, pribilegio berberek taula editatu dezakete. Zifratuaren indarra ez da inoiz galdera honetan sartzen.

Beraz, lehenengo ezarri beharrekoa da gailu honetako politika nor den eta zer gainidazteko baimena duen. Kudeatutako lan-makina batean erantzuna erakundearen amaierako puntuko agentea izan ohi da, eta VPN pertsonalak ez ditu gaitasun horiek kentzen, tunela nola konfiguratu den ere.

Lehen urratsa: berretsi blokeoa estaltzen uste duzun bideetan

Jaitsi tunela urruneko muturrean, ez bezeroan, bezeroak konektatuta egon beharko lukeela sinisten jarrai dezan. Gero probatu pertsona batek benetan probatuko lukeena:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Azkar eta garbi huts egiten duen bezeroa nahi duzu, nabigatzailearen denbora-mugara arte zintzilik geratzen dena ez. Zintzilik egoteak esan ohi du arau batek paketeak isilka botatzen dituela ukatu gabe, eta hori onargarria da, baina bezeroak interfaze hilean seinalatzen duen bideratze lehenetsi zaharkitua utzi duela ere esan dezake. Irakurri bideratze-taula tunela jaitsita dagoela: oraindik tunel-gailua seinalatzen duen bideratze lehenetsiak eta irteerako konexio berriak soilik blokeatzen dituen suebaki-arauak bi egoera desberdin dira, eta horietako bakarra da fail-closed.

Errepikatu komando berberak bezeroaren allow-LAN aukera piztuta eta itzalita. Etengailu hori da sorpresa gehienen tokia, politikaren gainerakoa ixteko idatzita zegoen bidea berriro irekitzen duelako.

Bigarren urratsa: egiaztatu DNS eta IPv6 bide bereizi gisa

Izenen ebazpena implementazio gehienetatik bizirik ateratzen den hutsunea da, kontsulta sistemaren ebazpenetik kanpoko zerbaitetik irten baitaiteke. Galdetu zure ebazpen-konfigurazioa alde batera uzten duen tresna batekin, eta egiaztatu v6 aldea hor zaudela:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Bi izen-kontsultetarako erantzun hutsak tunela jaitsita daude nahi duzun emaitza. Bigarren kontsultak erantzuten badu, gogorrean kodetutako ebazpen-helbide bat irisgarria da eta tunela ez da makinatik irteteko bide bakarra. v6 eskaerak bakarrik lortzen badu, politikak IPv4 estaltzen du eta IPv6 alde batera uzten du, eta hori isuri bera da helbide-familia desberdin batean.

Nabigatzaileek zailago egiten dute kanpotik irakurtzea, DNS over HTTPSerako konfiguratutako nabigatzaile batek kontsulta HTTPS eskaera baten bidez ebazten baitu: kontsulta blokeatuta dago muturreko horretarako 443 portua blokeatuta dagoen heinean. Politikak tokiko azpisarea onartzen duen host batean, eskaera horrek oraindik LANeko ebazpen batera irits daiteke.

Hirugarren urratsa: bereizi sarearen esposizioa amaierako puntuaren esposiziotik

Orain suebaki-arau bakar batek ere iristen ez duen zatia. Segurtasun-etengailuak makinatik irteteko bideak blokeatzen ditu; ez du eragozten makinako softwareak datuak enkriptatu aurretik irakurtzea, eta ez du eragozten software horrek tunela zilegi erabiltzea. Keylogger bat, luzapen maltzur bat, irekita utzitako pantaila bat, baimen zabalak dituen sinkronizazio-bezero bat: horiek guztiek etengailuak pozik baimentzen duen konexio batetik eramaten dute informazioa.

Hori bera gertatzen da enpresaburuak nahita instalatutako monitorizazio softwarearekin. Bideak blokeatzeak ez du kentzen, eta VPN zerbitzari berri bat erosteak ez du konpontzen, esposizioa tunelaren aurretik dagoelako.

Hodeiko kontu batera igotzen duen arbela-kudeatzaile batek argi erakusten du. Trafikoa enkriptatuta dago, helmuga baimenduta, eta segurtasun-etengailuak osasun-egoera ona jakinarazten du denbora osoan.

Laugarren urratsa: idatzi zure probak babesten duen baieztapena

Eten-probaren ondoren gertaera zehatzak esan ditzakezu: zein aplikaziok huts egin zuten, zein bide gelditu ziren, nola jokatu zuten DNSek eta IPv6k, eta blokeoak eutsi ote zion tunela erori zenean. Ezin duzu esan sistema eragilea garbi dagoenik, ezta urruneko muturreko zerbitzu batek zure saio-hasiera pribatuan mantenduko duenik.

Eduki bi arazoak bereizita eta eman bakoitzari bere kontrola:

• Segurtasun-etengailua: definitutako hutsegite-betekizuna, bezeroaren bertsio-berritze bakoitzaren ondoren errepikatzen duzun eten-probak egiaztatua.
• Gailuaren konfiantza: onartutako eguneratzeak, iturri fidagarri baten amaierako puntuko babesa, azaldu gabeko baimen eta autentifikazio-eskaeren berrikuspena.
• Gertaera: jarraitu plataformaren edo erakundearen prozedura konpromisoa susmatzen denean; zerbitzari berria ez da garbiketa-urratsa.
• Argitara ematea: laguntza eskatzekoan, ez itsatsi gako pribaturik edo diagnostiko-artxibo osoak, erregistroek eta pantaila-argazkiek konexioak beste sekretu berberak daramatzatelako.

Exekutatu sekuentzia berriro hurrengo eguneratzearen ondoren, segurtasun-etengailua bertsioekin mugitzen den konfigurazioa delako. Proba da fidatzen zaren jokabidea jasotzen duzun jokabidea oraindik dela dioen froga bakarra.