Miksi VPN-porttien estäminen ei pysäytä luvattomia tunneleita

Palomuurisääntö kieltää liikenteen, johon se osuu. Se ei kiellä kaikkea sellaisen yhteyden käyttöä, jonka se sallii, ja juuri tässä aukossa useimmat luvattomien tunnelien vastaiset käytännöt epäonnistuvat. Viisi vuotta sitten suositun asiakasohjelman porttien estäminen jättää koskemattomaksi kaiken, mikä kulkee 443:n kautta, eikä kerro mitään laitteesta, joka voi kirjoittaa omat reittinsä uudelleen. Rakenna hallinta valtuuksien ja kohteiden ympärille ja lue sitten virrat, jotka todella sallit.

Miksi porttilista ei ole käytäntö

Portit ovat kuljetuskerroksen käsite, ja useat tunneliteknologiat eivät käytä niitä lainkaan. Toiset jakavat tarkoituksella portin tavallisen verkkoliikenteen kanssa, koska se portti on se, joka varmasti läpäisee. Historialliseen porttiin sidottu sääntö luettelee siis kourallisen toteutuksia käyttäytymisluokan sijaan. Se myös vanhenee huonosti: heti kun palveluntarjoaja muuttaa oletuksia, lista kuvaa menneisyyttä.

Vielä pahempaa, yhden portin onnistunut estäminen voidaan lukea todisteeksi siitä, että koko ongelma on ratkaistu, mikä viivästyttää kontrolleja, joilla olisi ollut merkitystä.

Protokollanumerot ja portit ovat eri nimiavaruuksia

GRE:lle on annettu IP-protokollanumero 47. Se ei ole TCP-portti 47 eikä UDP-portti 47, eikä portille kirjoitettu suodatin kosketa sitä. ESP ja AH ovat protokollanumeroilla 50 ja 51 samalla ominaisuudella. Kapseloitu liikenne voi myös piiloutua sallitun yhteyden sisään, minkä vuoksi luokka tai allekirjoitus voi auttaa, mutta ei koskaan todista tarkoitusta yksinään. Luottamus ja kattavuus kuuluvat tiettyyn tuotteeseen ja julkaisuun, eivät käsitteeseen.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Ensimmäinen komento näyttää, mitä todella kirjoitit; toinen näyttää protokollataulukon, jonka pino tuntee; kolmas näyttää, kuinka monta istuntoa käyttää verkkoporttia juuri nyt. Mikään niistä ei kerro, mihin nämä istunnot on tarkoitettu. TLS-salakuuntelu on erillinen päätös, jolla on omat luottamuksen, yksityisyyden ja asiakasyhteensopivuuden kustannuksensa. Se ei ole edellytys nimetyn kohteen kieltämiselle eikä myöskään tae tunnelien tunnistamisesta.

Hallitse laitteen valtuuksia

Laitteella, joka voi muuttaa omaa reititystaulukkoaan ja suodatustaan, on kyvykkyyksiä, joita tavallisella sovelluksella ei ole. Pääsyn ja kokoonpanon hallinta on se, mikä poistaa tämän kyvyn, ja se toimii riippumatta siitä, mitä porttia tunneli käyttäisi.

Se tarkoittaa, että hyväksytyt liitännät saavat ilmoitetun roolinsa rajoittamattoman välitysoikeuden sijaan muiden laitteiden puolesta, ja se tarkoittaa, että asennus- ja verkonhallintaoikeudet ovat osa käytäntöä eivätkä jälkiajatus.

Tarkkaile virtoja, jotka jäävät. Korreloi laitteen identiteetti, määritetty rooli ja virran metatiedot, ja käsittele luokittelua rajoituksin varustettuna todisteena, älä tuomiona.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Pitkäkestoinen salattu istunto tai suuri tavumäärä ei ole todiste väärinkäytöstä: varmuuskopiot, tukityökalut ja toimipisteiden väliset linkit näyttävät samalta. Pidä keräys tutkinnan rajoissa ja säilytä löytämäsi sen prosessin alaisuudessa, jolle se kuuluu.

Tee poikkeukset selkeiksi

Jokaisessa ympäristössä on kohteita, joiden on pysyttävä tavoitettavissa päivityksiä, todennusta ja palautusta varten. Kirjoita ne muistiin tarkoituksen ja omistajan kanssa ja tarkista ne sen sijaan, että löytäisit ne yksi katkos kerrallaan.

Kun liiketoiminta todella sallii laajan ulkoisen palvelun, arvioi valtuudet, jotka kyseinen palvelu tarjoaa, sen sijaan että olettaisit kohteen tunnisteen tekevän kaikesta käytöstä hyväksyttävää.

Tarkistamaton poikkeus on reikä, jolla on tikettinumero. Poikkeus, jolla on nimi, syy ja tarkistuspäivä, on päätös.

Hyväksy kirjallisella suunnitelmalla, älä iskulauseella

Hyväksynnällä on kaksi puoliskoa: hyväksytty työ onnistuu edelleen ja tietyt kielletyt tapaukset epäonnistuvat valtuutetussa testissä. Molemmat on kirjoitettava ennen muutosta ja toistettava sen jälkeen.

Sisällytä kyseiseen tarkistukseen päätepiste- ja käytäntömuutokset, koska kannettavalle tietokoneelle lisätty reitti voi kumota suodattimen, joka toimi reunassa täydellisesti.

Lopputulos on omistettu ulostuloraja, jolla on tiedossa oleva luettelo jäljellä olevasta riskistä. Väite, että muutama suljettu portti lopetti luvattoman VPN-käytön, ei ole sitä.