Neovlašteni VPN usmjerivač: kontrola pristupa prije dešifriranja

Nepoznati usmjerivač koji se pojavi na internom portu preklopnika i odmah otvori odlazni VPN već je prošao kontrolu koja je najvažnija. Pristup odlučuje hoće li uređaj uopće dobiti upotrebljiv mrežni pristup, dok dešifriranje samo govori što je učinio poslije. Ispravan redoslijed pretvara nemoguć problem inspekcije u rutinsko pitanje politike portova. To je i razlika između reverzibilne radnje i prekida rada.

Pristup se odlučuje na portu

Pitajte kako je uređaj dobio upotrebljivu povezanost prije nego što pitate što nosi njegov tunel. Usmjerivač priključen na aktivni zidni port, ili bežični klijent koji se pridružio otvorenom SSID-u, primljen je politikom koju taj port ili SSID primjenjuje. Ako ta politika glasi "sve što se priključi dobiva radni VLAN", VPN je simptom, a ne ranjivost.

DHCP zakup nije zapis o autorizaciji. Primanje adrese, ili neuspjeh da je primi, opisuje servis za dodjelu adresa, a ne stanje porta, i mnogi dizajni dopuštaju neautentificiranom uređaju da dosegne pomoćni poslužitelj dok odbijaju sve ostalo. Tablicu zakupa tretirajte kao dokaz o adresiranju, a ne o povjerenju.

U ovim istragama miješaju se tri vrste dokaza: odobrena osoba, odobren upravljani uređaj i unos u inventarnom listu. Politika porta treba biti izričita o tome koje od njih prihvaća, jer ukradena vjerodajnica i klonirana MAC adresa zadovoljavaju različite.

Što autentificirani port zapravo odlučuje

Uz IEEE 802.1X, preklopnik ili pristupna točka je autentifikator i prosljeđuje vjerodajnice klijenta središnjem servisu kao RADIUS klijent. RADIUS 802.1X atributi omogućuju da taj rezultat autorizira port i, ovisno o dizajnu, smjesti sesiju u određeni VLAN ili računovodstveni kontekst. Preklopnik provodi ono što poslužitelj politike vrati samo ako je port konfiguriran da to provodi.

Upravo na toj posljednjoj klauzuli implementacije tiho propadaju. Port ostavljen u načinu nadzora ili evidentiranja bilježi bi li odluku i dalje propušta promet, što u svakom izvještaju izgleda kao ispravna implementacija—dok netko ne priključi neupravljani usmjerivač.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Uređaji koji ne mogu pokrenuti klijenta za autentifikaciju trebaju zasebnu odluku, a ne opće izuzeće. Zaobilaženje MAC autentifikacije, registracijski portal ili namjenski VLAN za uređaje legitimni su odgovori, ali svaki mora biti odabran svjesno i dokumentiran. Zapišite koje klase uređaja smiju koristiti rezervni put i ko ih odobrava. Nedokumentirani rezervni put upravo je način na koji neupravljani usmjerivač dobije radni VLAN bez ičijeg odobrenja.

Što možete vidjeti bez dešifriranja

Enkripcija skriva sadržaj, ne ponašanje. Izvorišne i odredišne adrese, portovi, tajming paketa, obujam toka i trajanje sesije ostaju vidljivi na granici gdje ih prikupljate, a ti metapodaci često su dovoljni da povežu nepoznati uređaj s portom i odlaznim odredištem. Ono što ne možete pročitati je aplikacija unutar tunela, i nijedno hvatanje paketa to ne mijenja bez ključeva.

Stalni tunel nije automatski zlonamjeran. Veze između lokacija, agenti za sigurnosne kopije i alati za daljinsko upravljanje rade neprekidno po dizajnu, pa tok koji traje cijelu noć sam po sebi ništa ne dokazuje. Usporedite ga s ulogom dodijeljenom toj imovini i s odobrenom osnovnom linijom za njezin segment.

Ograničite izlazni promet namjerno. Dopuštanje odredišnog porta nije isto što i odobravanje aplikacije koja ga koristi, a pretpostavka klasifikatora nije odluka o autorizaciji. Prikupite metapodatke potrebne za istragu, s imenovanim vlasnikom i rokom čuvanja, umjesto da po defaultu snimate cijeli promet svakog korisnika.

Sadržite kroz granicu koju kontrolirate

Prije nego što bilo što izolirate, potvrdite ko posjeduje uređaj i gdje je priključen. Zatim kroz proces za incidente ograničite port ili opozovite sesiju, čuvajući relevantne zapise dok su dokazi još svježi. Port preklopnika može se onemogućiti i ponovno omogućiti; proizvodni uzlazni link koji služi četrdeset radnih mjesta ne može se tako lako poništiti.

Ne uzvraćajte napad na krajnju točku i ne onemogućujte dijeljeni port zato što je skeniranje predložilo VPN protokol. Obje radnje prekidaju legitiman rad bez poboljšanja odluke o pristupu koja je uređaj uopće pustila unutra.

Test prihvata je konkretan: odobrena krajnja točka i dalje dobiva pristup koji njezina uloga zahtijeva, a neodobreni uređaj ne može dobiti ekvivalentan put. Nadzor podržava tu granicu i ne mora nikome razbiti enkripciju da bi bio vrijedan truda.