Baimenik gabeko VPN bideratzailea: onarpen-kontrola deszifratu aurretik

Barneko kommutadore-ataka batean agertu eta berehala irteerako VPN bat irekitzen duen bideratzaile ezezagun batek garrantzitsuena den kontrola jada gainditu du. Onarpenak erabakitzen du gailuak sare-sarbide erabilgarririk lortuko duen ala ez, eta deszifratzeak, berriz, geroago zer egin zuen besterik ez du esaten. Ordena hori ondo jartzeak ikuskapen-arazo ezinezkoa ataka-politikaren ohiko galdera bihurtzen du. Itzulgarria den ekintzaren eta etenaldiaren arteko aldea ere bada.

Onarpena atakan erabakitzen da

Galdetu nola lortu zuen gailuak konektibitate erabilgarria, galdetu aurretik haren tunelek zer daraman. Horma-ataka bizira konektatutako bideratzaile bat, edo SSID ireki batera batu zen bezero haririk gabeko bat, ataka edo SSID horrek aplikatzen duen politikak onartu zuen. Politika hori "konektatzen den guztiak VLAN funtzionala lortzen du" bada, VPN-a sintoma da, eta ez ahultasuna.

DHCP errenta ez da baimen-erregistro bat. Helbide bat jasotzeak edo ez jasotzeak helbide-esleipen zerbitzua deskribatzen du, ez atakaren egoera, eta diseinu askok autentifikatu gabeko gailu bati laguntza-zerbitzu batera iristeko baimena ematen diote, gainerako guztia ukatuz. Trata ezazu errenta-taula helbideratzeari buruzko froga gisa, ez konfiantzari buruzkoa.

Ikerketa hauetan hiru froga mota nahasten dira: onartutako pertsona bat, onartutako kudeatutako gailu bat eta inbentario-orri bateko sarrera bat. Ataka-politikak argi adierazi behar du zeintzuk onartzen dituen, lapurtutako kredentzial batek eta klonatutako MAC helbide batek desberdinak betetzen baitituzte.

Zer erabakitzen du benetan ataka autentifikatu batek

IEEE 802.1X-rekin, kommutadorea edo sarbide-puntua autentifikatzailea da, eta eskatzailearen kredentzialak zerbitzu zentral batera bidaltzen ditu RADIUS bezero gisa. RADIUS 802.1X atributuek emaitza horri ataka baimendu eta, diseinuaren arabera, saioa VLAN jakin batean edo kontabilitate-testuinguru jakin batean jartzeko aukera ematen diote. Kommutadoreak politika-zerbitzariak itzultzen duena betearazten du, betiere ataka hori betearazteko konfiguratuta badago.

Azken klausula horretan huts egiten dute hedapenek isilpean. Monitorizazio edo erregistro moduan utzitako ataka batek hartuko litzatekeen erabakia erregistratzen du eta trafikoa igarotzen uzten du oraindik, eta hori txosten guztietan hedapen funtzionala balitz bezala agertzen da, norbaitek kudeatu gabeko bideratzaile bat konektatu arte.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Eskatzailea exekutatu ezin duten gailuek erabaki bereizia behar dute, ez salbuespen orokorra. MAC autentifikazioaren ingurubidea, erregistro-atari bat edo gailuetarako VLAN dedikatu bat erantzun legitimoa da, baina bakoitza nahita aukeratu eta dokumentatu behar da. Idatzi zein gailu-motak erabil dezaketen ordezko bidea eta nork onartzen dituen. Dokumentatu gabeko ordezko bidea da kudeatu gabeko bideratzaile batek inoren oniritzirik gabe VLAN funtzionala lortzeko modu zehatza.

Zer ikus dezakezun deszifratu gabe

Zifratzeak karga erabilgarria ezkutatzen du, ez portaera. Iturburu- eta helmuga-helbideak, atakak, paketeen denboralizazioa, fluxu-bolumena eta saioaren iraupena ikusgai geratzen dira horiek biltzen dituzun mugan, eta metadatu horiek askotan nahikoak dira gailu ezezagun bat ataka eta irteerako helmuga batekin lotzeko. Irakurri ezin duzuna tunelean dagoen aplikazioa da, eta pakete-kapturen batek ere ez du hori aldatzen gakorik gabe.

Tunel iraunkor bat ez da berez maltzurra. Guneen arteko estekak, segurtasun-kopiako agenteak eta urruneko administrazio tresnak diseinuz etengabe ibiltzen dira, beraz, gau osoa irauten duen fluxu batek bere horretan ez du ezer frogatzen. Alderatu aktibo horri esleitutako rolarekin eta haren segmenturako onartutako oinarrizko lerroarekin.

Mugatu irteera asmoz. Helmuga-ataka bat baimentzea ez da hura erabiltzen duen aplikazioa onartzea, eta sailkatzaile baten usteak ez du baimen-erabakia balio. Bildu ikerketarako behar dituzun metadatuak, izendatutako jabe batekin eta atxikipen-leiho batekin, erabiltzaile bakoitzaren trafiko osoa modu lehenetsian harrapatu ordez.

Muga ezazu kontrolatzen duzun mugaren bidez

Ezer isolatu aurretik, egiaztatu norena den gailua eta non dagoen konektatuta. Ondoren, erabili gertaeren prozesua ataka murrizteko edo saioa baliogabetzeko, dagozkion erregistroak gorde bitartean frogak oraindik fresko dauden bitartean. Kommutadore-ataka bat desgaitu eta berriro gaitu daiteke; berrogei mahai zerbitzatzen dituen produkzio-esteka gorakor bat ez da hain erraz desegiten.

Ez erantzun erasoarekin amaierako puntuari, eta ez desgaitu partekatutako ataka bat eskaneatze batek VPN protokoloren bat iradoki duelako. Bi ekintzek lan legitimoa eteten dute, gailua hasieratik sartzen utzi zuen onarpen-erabakia hobetu gabe.

Onarpen proba zehatza da: onartutako amaierako puntu batek bere rolari behar duen sarbidea lortzen du oraindik, eta onartu gabeko gailu batek ezin du baliokidea den biderik lortu. Monitorizazioak muga horri eusten dio, eta ez du inoren zifratzea apurtu behar egiteko merezi izateko.