Neteisėtas VPN maršrutizatorius: priėmimo kontrolė prieš iššifravimą

Nežinomas maršrutizatorius, kuris atsiranda vidiniame komutatoriaus prievade ir iš karto atidaro išeinantį VPN, jau praėjo svarbiausią kontrolę. Priėmimas nusprendžia, ar įrenginys apskritai gaus naudojamą tinklo prieigą, o iššifravimas tik pasako, ką jis padarė vėliau. Teisinga tvarka neįmanomą patikros problemą paverčia įprastu prievadų politikos klausimu. Tai ir skirtumas tarp grįžtamo veiksmo ir paslaugos sutrikdymo.

Priėmimas sprendžiamas prievade

Pirmiausia paklauskite, kaip įrenginys gavo naudojamą ryšį, o tik paskui – ką neša jo tunelis. Maršrutizatorius, prijungtas prie aktyvaus sieninio prievado, arba belaidis klientas, prisijungęs prie atviro SSID, buvo priimtas pagal tą politiką, kurią taiko tas prievadas arba SSID. Jei ta politika skamba „viskas, kas įjungiama, gauna veikiantį VLAN“, tai VPN yra simptomas, o ne pažeidžiamumas.

DHCP nuoma nėra autorizacijos įrašas. Adreso gavimas arba negavimas apibūdina adresų priskyrimo paslaugą, o ne prievado būseną, ir daugelis sprendimų leidžia neautentifikuotam įrenginiui pasiekti pagalbinę paslaugą, tuo pat metu atmetant visa kita. Nuomų lentelę laikykite adresavimo įrodymu, o ne pasitikėjimo.

Šiuose tyrimuose sumaišomi trijų rūšių įrodymai: patvirtintas asmuo, patvirtintas valdomas įrenginys ir įrašas inventoriaus lape. Prievadų politika turėtų aiškiai pasakyti, kuriuos iš jų ji priima, nes pavogti prisijungimo duomenys ir klonuotas MAC adresas atitinka skirtingus.

Ką iš tikrųjų nusprendžia autentifikuotas prievadas

Su IEEE 802.1X komutatorius arba prieigos taškas yra autentifikatorius, ir jis perduoda prašytojo prisijungimo duomenis centrinei paslaugai kaip RADIUS klientas. RADIUS 802.1X atributai leidžia tam rezultatui autorizuoti prievadą ir, priklausomai nuo sprendimo, patalpinti sesiją konkrečiame VLAN arba konkrečiame apskaitos kontekste. Komutatorius vykdo tai, ką grąžina politikos serveris, tik jei prievadas sukonfigūruotas tai vykdyti.

Būtent šioje paskutinėje sąlygoje diegimai tyliai žlunga. Stebėjimo arba registravimo režime paliktas prievadas užregistruoja numatomą sprendimą ir vis tiek praleidžia srautą, o tai kiekvienoje ataskaitoje atrodo kaip veikiantis diegimas, kol kas nors įjungia nevaldomą maršrutizatorių.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Įrenginiams, kurie negali paleisti prašytojo, reikia atskiro sprendimo, o ne bendros išimties. MAC autentifikacijos apėjimas, registracijos portalas arba atskiras įrenginių VLAN yra visi teisėti atsakymai, tačiau kiekvieną reikia pasirinkti sąmoningai ir dokumentuoti. Užrašykite, kurios įrenginių klasės gali naudoti atsarginį kelią ir kas jas tvirtina. Nedokumentuotas atsarginis kelias yra būtent tai, kaip nevaldomas maršrutizatorius be niekieno patvirtinimo gauna veikiantį VLAN.

Ką galima matyti neiššifravus

Šifravimas slepia naudingąją apkrovą, o ne elgseną. Šaltinio ir paskirties adresai, prievadai, paketų laikas, srauto apimtis ir sesijos trukmė lieka matomi toje riboje, kur juos renkate, ir šių metaduomenų dažnai pakanka nepažįstamą įrenginį susieti su prievadu ir išeinančia paskirtimi. Ko perskaityti negalima – tai programa tunelio viduje, ir joks paketų fiksavimas be raktų to nekeičia.

Nuolatinis tunelis savaime nėra kenkėjiškas. Ryšiai tarp vietų, atsarginių kopijų agentai ir nuotolinio administravimo priemonės veikia nuolat pagal projektą, todėl visą naktį trunkantis srautas pats savaime nieko neįrodo. Palyginkite jį su tam turtui priskirta role ir su patvirtinta bazine linija jo segmentui.

Išeinantį srautą ribokite sąmoningai. Leidimas paskirties prievadui nėra tas pats, kas programos, kuri juo naudojasi, patvirtinimas, o klasifikatoriaus spėjimas nėra autorizacijos sprendimas. Rinkite tyrimui reikalingus metaduomenis su nurodytu savininku ir saugojimo terminu, o ne pagal nutylėjimą fiksuokite visą kiekvieno naudotojo srautą.

Sulaikykite per jūsų valdomą ribą

Prieš ką nors izoliuodami patvirtinkite, kam priklauso įrenginys ir kur jis prijungtas. Tada pagal incidento procedūrą apribokite prievadą arba atšaukite sesiją, saugodami svarbius žurnalus, kol įrodymai dar švieži. Komutatoriaus prievadą galima išjungti ir vėl įjungti; gamybinės magistralės jungties, aptarnaujančios keturiasdešimt darbo vietų, taip lengvai atšaukti negalima.

Nepersistenkite priešpriešiniu smūgiu galiniam įrenginiui ir neišjunkite bendro prievado vien todėl, kad skenavimas užsiminė apie VPN protokolą. Abu veiksmai nutraukia teisėtą darbą nepagerindami to priėmimo sprendimo, kuris įrenginį apskritai įleido.

Priėmimo testas yra konkretus: patvirtintas galinis įrenginys vis dar gauna jo rolei reikalingą prieigą, o nepatvirtintas įrenginys negali gauti lygiaverčio kelio. Stebėjimas palaiko šią ribą, ir jam nereikia laužyti niekieno šifravimo, kad būtų vertas pastangų.