Jogosulatlan VPN-útválasztó: belépés-ellenőrzés visszafejtés előtt

Egy ismeretlen útválasztó, amely megjelenik egy belső kapcsolóporton, és azonnal kimenő VPN-t nyit, már átjutott a legfontosabb ellenőrzésen. A belépés dönti el, hogy az eszköz egyáltalán használható hálózati hozzáférést kap-e, míg a visszafejtés csak azt mondja meg, mit tett utána. A helyes sorrend egy lehetetlen vizsgálati problémát rutin portszabályzati kérdéssé alakít. Ez egyben a különbség a visszafordítható művelet és a kiesés között.

A belépés a porton dől el

Kérdezze meg, hogyan kapott az eszköz használható kapcsolatot, mielőtt azt kérdezné, mit szállít az alagútja. Egy élő fali portra csatlakoztatott útválasztó vagy egy nyílt SSID-hez csatlakozott vezeték nélküli kliens azon szabályzat alapján kapott belépést, amelyet az a port vagy SSID alkalmaz. Ha ez a szabályzat úgy szól, hogy "minden, amit bedugnak, működő VLAN-t kap", a VPN tünet, nem a sebezhetőség.

A DHCP-bérlet nem jogosultsági nyilvántartás. Cím kapása vagy nem kapása a címkiosztó szolgáltatást írja le, nem a port állapotát, és sok terv engedi, hogy egy nem hitelesített eszköz elérjen egy segédszolgáltatást, miközben minden mást megtagad. A bérlettáblát a címzésre vonatkozó bizonyítéknak tekintse, nem a bizalomra vonatkozónak.

Ezekben a vizsgálatokban háromféle bizonyíték keveredik: egy jóváhagyott személy, egy jóváhagyott kezelt eszköz és egy nyilvántartási lapon szereplő bejegyzés. A portszabályzatnak egyértelműen meg kell mondania, melyeket fogad el, mert egy ellopott hitelesítő adat és egy klónozott MAC-cím különbözőket elégít ki.

Mit dönt el valójában egy hitelesített port

IEEE 802.1X esetén a kapcsoló vagy hozzáférési pont a hitelesítő, és a kérelmező hitelesítő adatait RADIUS-kliensként továbbítja egy központi szolgáltatásnak. A RADIUS 802.1X attribútumai lehetővé teszik, hogy az eredmény jogosítsa a portot, és a tervtől függően a munkamenetet egy adott VLAN-ba vagy egy adott elszámolási környezetbe helyezze. A kapcsoló csak akkor érvényesíti azt, amit a szabályzatszerver visszaad, ha a port erre konfigurálva van.

Pont ebben az utolsó feltételben szoktak csendben elbukni a telepítések. Egy megfigyelő vagy naplózó módban hagyott port rögzíti a szándékolt döntést, és továbbra is átengedi a forgalmat, ami minden jelentésben működő telepítésnek látszik, amíg valaki be nem dug egy nem kezelt útválasztót.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Azoknak az eszközöknek, amelyek nem tudnak kérelmezőt futtatni, külön döntés kell, nem általános kivétel. A MAC-hitelesítés megkerülése, egy regisztrációs portál vagy egy dedikált eszköz-VLAN mind legitim válasz, de mindegyiket szándékosan kell kiválasztani és dokumentálni. Írja le, mely eszközosztályok használhatják a tartalék utat, és ki hagyja jóvá őket. A dokumentálatlan tartalék út az pontosan az, ahogy egy nem kezelt útválasztó bárki jóváhagyása nélkül működő VLAN-hoz jut.

Mit láthat visszafejtés nélkül

A titkosítás a hasznos terhet rejti el, nem a viselkedést. A forrás- és célcímek, portok, csomagidőzítés, folyamathangerő és munkamenet-hossz továbbra is láthatók azon a határon, ahol gyűjti őket, és ezek a metaadatok gyakran elegendők ahhoz, hogy egy ismeretlen eszközt egy porttal és egy kimenő célponttal összekapcsoljanak. Amit nem tud kiolvasni, az az alagúton belüli alkalmazás, és ezen kulcsok nélkül semmilyen csomagrögzítés nem változtat.

Az állandó alagút nem automatikusan rosszindulatú. A telephelyek közötti kapcsolatok, a biztonsági mentési ügynökök és a távoli felügyeleti eszközök tervezésük szerint folyamatosan futnak, így egy egész éjszakán át tartó folyamat önmagában semmit sem bizonyít. Hasonlítsa össze az eszközhöz rendelt szereppel és a szegmensére jóváhagyott alapvonallal.

Korlátozza a kimenő forgalmat szándékosan. Egy célport engedélyezése nem ugyanaz, mint az azt használó alkalmazás jóváhagyása, és egy osztályozó találgatása nem jogosultsági döntés. Gyűjtse össze a vizsgálathoz szükséges metaadatokat megnevezett tulajdonossal és megőrzési ablakkal, ahelyett hogy alapértelmezésként minden felhasználó teljes forgalmát rögzítené.

Határoljon azon a határon, amelyet ellenőriz

Mielőtt bármit elkülönítene, erősítse meg, kié az eszköz, és hová van csatlakoztatva. Ezután az incidensfolyamattal korlátozza a portot vagy vonja vissza a munkamenetet, miközben a bizonyítékok még frissek, őrizze meg a vonatkozó naplókat. Egy kapcsolóport kikapcsolható és újra bekapcsolható; egy negyven munkaállomást kiszolgáló éles uplink nem visszavonható ilyen könnyen.

Ne támadjon vissza a végpontra, és ne kapcsoljon ki egy megosztott portot csak azért, mert egy vizsgálat VPN-protokollra utalt. Mindkét művelet legitim munkát szakít meg anélkül, hogy javítaná azt a belépési döntést, amely egyáltalán beengedte az eszközt.

Az elfogadási teszt konkrét: egy jóváhagyott végpont továbbra is megkapja a szerepéhez szükséges hozzáférést, egy nem jóváhagyott eszköz pedig nem tud egyenértékű útvonalat kapni. A megfigyelés támogatja ezt a határt, és nem kell senki titkosítását feltörnie ahhoz, hogy megérje a fáradságot.