Router VPN tanpa izin: kendali penerimaan sebelum dekripsi

Router tak dikenal yang muncul di port switch internal dan langsung membuka VPN keluar sudah melewati kendali yang paling penting. Penerimaan menentukan apakah perangkat mendapat akses jaringan yang bisa dipakai, sedangkan dekripsi hanya memberi tahu apa yang dilakukannya sesudahnya. Urutan yang benar mengubah masalah inspeksi yang mustahil menjadi pertanyaan kebijakan port yang rutin. Inilah juga beda antara tindakan yang bisa dibalik dan pemadaman layanan.

Penerimaan diputuskan di port

Tanyakan bagaimana perangkat memperoleh konektivitas yang bisa dipakai sebelum bertanya apa yang dibawa terowongannya. Router yang terpasang di port dinding aktif, atau klien nirkabel yang bergabung ke SSID terbuka, diterima oleh kebijakan apa pun yang diterapkan port atau SSID itu. Jika kebijakan itu berbunyi "segala yang dicolokkan mendapat VLAN yang berfungsi", VPN adalah gejala, bukan kerentanan.

Sewa DHCP bukan catatan otorisasi. Menerima alamat, atau gagal menerimanya, menggambarkan layanan penetapan alamat, bukan keadaan port, dan banyak rancangan membiarkan perangkat tanpa autentikasi menjangkau layanan pembantu sambil menolak semua yang lain. Perlakukan tabel sewa sebagai bukti tentang pengalamatan, bukan tentang kepercayaan.

Tiga jenis bukti tercampur dalam penyelidikan ini: orang yang disetujui, perangkat terkelola yang disetujui, dan entri pada lembar inventaris. Kebijakan port harus tegas tentang mana yang diterimanya, karena kredensial yang dicuri dan alamat MAC yang diklon memenuhi syarat yang berbeda.

Apa yang sebenarnya diputuskan port terautentikasi

Dengan IEEE 802.1X, switch atau titik akses adalah pengautentikasi, dan ia meneruskan kredensial pemohon ke layanan pusat sebagai klien RADIUS. Atribut RADIUS 802.1X memungkinkan hasil itu mengotorisasi port dan, bergantung pada rancangan, menempatkan sesi di VLAN tertentu atau konteks akuntansi tertentu. Switch hanya menegakkan apa yang dikembalikan server kebijakan jika port dikonfigurasi untuk menegakkannya.

Pada klausul terakhir itulah penerapan gagal secara diam-diam. Port yang dibiarkan dalam mode pemantauan atau pencatatan merekam keputusan yang seharusnya dan tetap meloloskan lalu lintas, yang di setiap laporan tampak seperti penerapan yang berfungsi sampai seseorang mencolokkan router tak terkelola.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Perangkat yang tidak dapat menjalankan pemohon memerlukan keputusan tersendiri, bukan pengecualian menyeluruh. Melewati autentikasi MAC, portal pendaftaran, atau VLAN khusus perangkat semuanya jawaban yang sah, tetapi masing-masing harus dipilih dengan sengaja dan didokumentasikan. Tuliskan kelas perangkat mana yang boleh memakai jalur cadangan dan siapa yang menyetujuinya. Jalur cadangan yang tak terdokumentasi persislah cara router tak terkelola mendapat VLAN yang berfungsi tanpa persetujuan siapa pun.

Apa yang bisa Anda lihat tanpa mendekripsi

Enkripsi menyembunyikan muatan, bukan perilaku. Alamat sumber dan tujuan, port, waktu paket, volume aliran, dan durasi sesi tetap terlihat di batas tempat Anda mengumpulkannya, dan metadata itu sering cukup untuk mengaitkan perangkat asing dengan port dan tujuan keluar. Yang tidak bisa Anda baca adalah aplikasi di dalam terowongan, dan tidak ada penangkapan paket yang mengubahnya tanpa kunci.

Terowongan yang menetap tidak otomatis berbahaya. Tautan antar-situs, agen cadangan, dan alat administrasi jarak jauh berjalan terus-menerus menurut rancangan, jadi aliran yang bertahan sepanjang malam tidak membuktikan apa pun dengan sendirinya. Bandingkan dengan peran yang diberikan kepada aset itu dan dengan garis dasar yang disetujui untuk segmennya.

Batasi lalu lintas keluar dengan sengaja. Mengizinkan port tujuan tidak sama dengan menyetujui aplikasi yang memakainya, dan dugaan pengklasifikasi bukan keputusan otorisasi. Kumpulkan metadata yang Anda perlukan untuk penyelidikan, dengan pemilik bernama dan jendela retensi, alih-alih menangkap seluruh lalu lintas setiap pengguna secara bawaan.

Batasi melalui batas yang Anda kendalikan

Sebelum mengisolasi apa pun, pastikan siapa pemilik perangkat dan di mana perangkat terpasang. Lalu gunakan proses insiden untuk membatasi port atau mencabut sesi, sambil memelihara log yang relevan selagi bukti masih segar. Port switch dapat dinonaktifkan dan diaktifkan kembali; uplink produksi yang melayani empat puluh meja tidak bisa dibatalkan semudah itu.

Jangan membalas menyerang titik akhir dan jangan menonaktifkan port bersama hanya karena pemindaian menyarankan protokol VPN. Kedua tindakan mengganggu pekerjaan yang sah tanpa memperbaiki keputusan penerimaan yang membiarkan perangkat masuk sejak awal.

Uji penerimaannya konkret: titik akhir yang disetujui tetap mendapat akses yang dituntut perannya, dan perangkat yang tidak disetujui tidak dapat memperoleh jalur yang setara. Pemantauan menopang batas itu, dan tidak perlu membobol enkripsi siapa pun agar layak usaha.