不正なVPNルーター：復号より前の受け入れ制御

不正なルーターは復号の問題である前に受け入れの問題である。ポートを管理し、資産を棚卸しし、外向き通信の範囲を定めよ。

内部スイッチポートに現れてすぐ外向きVPNを開く未知のルーターは、すでに最も重要な制御を通過している。受け入れは装置がそもそも使えるネットワークアクセスを得るかどうかを決め、復号はその後何をしたかしか教えない。この順序を正しく取れば、不可能な検査問題が日常的なポートポリシーの問いに変わる。これは可逆な操作とサービス停止の違いでもある。

受け入れはポートで決まる

トンネルが何を運ぶかを問う前に、装置がどうやって使える接続を得たかを問う。稼働中の壁ポートに接続されたルーターや、オープンなSSIDに参加した無線クライアントは、そのポートやSSIDが適用するポリシーによって受け入れられている。そのポリシーが「挿せば何でも動くVLANが与えられる」なら、VPNは症状であって脆弱性ではない。

DHCPリースは認可の記録ではない。アドレスを受け取ったか受け取らなかったかはアドレス割り当てサービスを説明するもので、ポートの状態ではないが、多くの設計は未認証の装置に補助サービスだけを到達させ、ほかはすべて拒否する。リース表はアドレッシングの証拠として扱い、信頼の証拠としては扱わない。

この調査では、承認された人物、承認された管理対象装置、棚卸し表の一行という三種類の証拠が混同される。ポートポリシーはそのどれを受け入れるかを明示すべきで、盗まれた資格情報と複製されたMACアドレスはそれぞれ別のものを満たすからだ。

認証されたポートが実際に決めること

IEEE 802.1Xでは、スイッチまたはアクセスポイントが認証者であり、サプリカントの資格情報をRADIUSクライアントとして中央サービスへ転送する。 RADIUS 802.1X属性 は、その結果によってポートを認可し、設計に応じてセッションを特定のVLANや特定の会計コンテキストに置くことを可能にする。スイッチは、ポートが強制するよう構成されている場合にだけ、ポリシーサーバーが返す内容を強制する。

導入が静かに失敗するのは、この最後の条件においてである。監視モードやログモードのままにされたポートは本来の判断を記録しながら通信をそのまま通し、どの報告書でも動いている導入に見えるが、それは誰かが管理外のルーターを挿すまで続く。

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

サプリカントを実行できない装置には、一律の例外ではなく別個の判断が必要だ。MAC認証バイパス、登録ポータル、専用の装置VLANはいずれも正当な答えだが、それぞれを意図的に選び、文書化しなければならない。どの装置クラスが代替経路を使えるのか、誰が承認するのかを書き留める。文書化されていない代替経路こそ、管理外のルーターが誰の承認も得ずに動くVLANを手に入れる道である。

復号せずに分かること

暗号化が隠すのはペイロードであり、振る舞いではない。送信元と宛先のアドレス、ポート、パケットのタイミング、フロー量、セッション継続時間は、収集する境界で見えたままであり、そのメタデータは見慣れない装置をポートと外向きの宛先に結び付けるのにしばしば足りる。読めないのはトンネル内部のアプリケーションであり、鍵なしにパケットをいくら捕まえてもそれは変わらない。

持続するトンネルが自動的に悪意あるものとは限らない。拠点間リンク、バックアップエージェント、遠隔管理ツールは設計上継続して動くので、一晩中続くフローだけでは何も証明できない。その資産に割り当てられた役割と、そのセグメントの承認済みベースラインと比較せよ。

外向き通信は意図をもって範囲を定める。宛先ポートを許可することは、それを使うアプリケーションを承認することと同じではなく、分類器の推測は認可の判断ではない。調査に必要なメタデータを、名前のある所有者と保存期間とともに収集し、既定で全利用者の通信を丸ごと取得するのは避ける。

自分が制御する境界で封じ込める

何かを隔離する前に、装置の所有者と接続場所を確認する。そのうえでインシデント手順を使い、証拠が新しいうちに関連ログを保全しながら、ポートを制限するかセッションを取り消す。スイッチポートは無効化して再び有効化できるが、四十台のデスクにサービスを提供する本番の上位リンクは、同じようには元に戻せない。

エンドポイントへ反撃してはならず、スキャンがVPNプロトコルを示唆したという理由だけで共有ポートを無効化してもいけない。どちらも正当な作業を中断するだけで、装置をそもそも通した受け入れの判断を改善しない。

受け入れの試験は具体的であり、承認されたエンドポイントは役割が要求するアクセスを引き続き得られ、承認されていない装置は同等の経路を得られない。監視はその境界を支えるものであり、誰かの暗号を破らなくても努力に見合う。

関連記事