Miért nem állítja meg a VPN-portok blokkolása a jogosulatlan alagutakat

A tűzfal-szabály megtagadja azt a forgalmat, amelyre illeszkedik. Nem tagadja meg az általa engedélyezett kapcsolat minden használatát, és éppen ebben a résben bukik meg a legtöbb jogosulatlan alagutak elleni szabályzat. Az öt éve népszerű kliens portjainak blokkolása érintetlenül hagyja mindazt, ami a 443-on halad, és semmit nem mond arról az eszközről, amely át tudja írni a saját útvonalait. A vezérlést a jogosultság és a célok köré építse, majd olvassa a ténylegesen engedélyezett folyamokat.

Miért nem szabályzat a portlista

A portok a szállítási réteg fogalma, és több alagúttechnológia egyáltalán nem használ portot. Mások szándékosan osztoznak egy porton a szokásos webes forgalommal, mert az a port az, amely garantáltan átjut. A történelmi portra épülő szabály ezért néhány implementációt sorol fel a viselkedési osztály helyett. Az is rosszul öregszik: abban a pillanatban, amikor egy szolgáltató megváltoztatja az alapértékeket, a lista a múltat írja le.

Ami még rosszabb, egy port sikeres blokkolása bizonyítékként olvasható arra, hogy az egész probléma megoldódott, ami késlelteti azokat az ellenőrzéseket, amelyek számítottak volna.

A protokollszámok és a portok különböző névterek

A GRE-hez a 47-es IP-protokollszám van hozzárendelve. Ez nem a 47-es TCP-port és nem a 47-es UDP-port, és a portra írt szűrő nem érinti. Az ESP és az AH az 50-es és 51-es protokollszámon helyezkedik el, ugyanezzel a tulajdonsággal. A beágyazott forgalom egy engedélyezett kapcsolat belsejébe is elrejtőzhet, ezért egy kategória vagy aláírás segíthet, de önmagában soha nem igazolja a célt. A bizalom és a lefedettség egy adott termékhez és kiadáshoz tartozik, nem a fogalomhoz.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Az első parancs megmutatja, mit írt valójában; a második megmutatja a protokolltáblát, amelyet a verem ismer; a harmadik megmutatja, hány munkamenet használja éppen a webportot. Egyik sem mondja meg, mire valók ezek a munkamenetek. A TLS-lehallgatás külön döntés, saját bizalmi, adatvédelmi és klienskompatibilitási költségekkel. Nem előfeltétele egy megnevezett cél megtagadásának, és nem is garancia az alagutak felismerésére.

Szabályozza az eszköz jogosultságát

Az az eszköz, amely meg tudja változtatni a saját útvonalválasztási tábláját és szűrését, olyan képességekkel rendelkezik, amelyekkel egy hétköznapi alkalmazás nem. A belépés- és konfigurációkezelés az, ami ezt a képességet megszünteti, és attól függetlenül hat, hogy az alagút melyik portot használná.

Ez azt jelenti, hogy a jóváhagyott csatlakozások a megadott szerepüket kapják meg a korlátlan továbbítási engedély helyett más eszközök nevében, és azt is jelenti, hogy a telepítési és hálózatkezelési jogok a szabályzat részét képezik, nem utólagos gondolatot.

Figyelje meg a megmaradó folyamokat. Korrelálja az eszközidentitást, a hozzárendelt szerepet és a folyamat metaadatait, és a besorolást korlátokkal rendelkező bizonyítékként kezelje, ne ítéletként.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Egy hosszú életű titkosított munkamenet vagy nagy bájtszám nem a visszaélés bizonyítéka: a biztonsági mentések, a támogató eszközök és a telephelyi kapcsolatok ugyanúgy néznek ki. Tartsa a gyűjtést a vizsgálat határain belül, és őrizze meg a találtakat az őt birtokló folyamat alatt.

Tegye kifejezetté a kivételeket

Minden környezetben vannak olyan célok, amelyeknek elérhetőnek kell maradniuk a frissítésekhez, a hitelesítéshez és a helyreállításhoz. Írja le őket célként és felelőssel, és tekintse át őket, ahelyett hogy kiesésenként fedezné fel őket.

Amikor a vállalat valóban engedélyez egy széles külső szolgáltatást, mérje fel az általa nyújtott jogosultságot, ahelyett hogy feltételezné, a cél címkéje minden használatot elfogadhatóvá tesz.

A felül nem vizsgált kivétel egy lyuk jegyszámmal. A névvel, indoklással és felülvizsgálati dátummal rendelkező kivétel döntés.

Írásos tervvel fogadja el, nem szlogennel

Az elfogadásnak két fele van: a jóváhagyott munka továbbra is sikerül, és a konkrét tiltott esetek elbuknak egy engedélyezett tesztben. Mindkettőt a változtatás előtt le kell írni, és utána meg kell ismételni.

Vegye bele ebbe a felülvizsgálatba a végpont- és szabályzatváltozásokat, mert egy laptopon hozzáadott útvonal visszavonhat egy szűrőt, amely a peremen tökéletesen működött.

Az eredmény egy saját kilépési határ, ismert maradék kockázati listával. Azt állítani, hogy néhány lezárt port véget vetett a jogosulatlan VPN-használatnak, nem ez.