Neatļauts VPN maršrutētājs: piekļuves kontrole pirms atšifrēšanas

Nezināms maršrutētājs, kas parādās iekšējā komutatora portā un nekavējoties atver izejošu VPN, jau ir izgājis garām svarīgākajai kontrolei. Piekļuve nosaka, vai ierīce vispār iegūs lietojamu tīkla piekļuvi, bet atšifrēšana tikai pasaka, ko tā izdarīja pēc tam. Pareiza secība neiespējamu pārbaudes problēmu pārvērš parastā portu politikas jautājumā. Tā ir arī atšķirība starp atgriezenisku darbību un pakalpojuma pārtraukumu.

Piekļuve tiek izlemta portā

Vispirms jautājiet, kā ierīce ieguva lietojamu savienojumu, un tikai pēc tam, ko pārvadā tās tunelis. Maršrutētājs, kas pievienots aktīvam sienas portam, vai bezvadu klients, kas pievienojies atvērtam SSID, tika ielaists saskaņā ar politiku, ko piemēro šis ports vai SSID. Ja šī politika skan „visam, ko pievieno, tiek dots strādājošs VLAN“, tad VPN ir simptoms, nevis ievainojamība.

DHCP noma nav autorizācijas ieraksts. Adreses saņemšana vai nesaņemšana raksturo adrešu piešķiršanas pakalpojumu, nevis porta stāvokli, un daudzi risinājumi ļauj neautentificētai ierīcei sasniegt palīgpakalpojumu, vienlaikus noraidot visu pārējo. Nomas tabulu uzskatiet par pierādījumu par adresāciju, nevis par uzticēšanos.

Šajās izmeklēšanās sajaucas trīs veidu pierādījumi: apstiprināta persona, apstiprināta pārvaldīta ierīce un ieraksts inventarizācijas lapā. Porta politikai skaidri jānorāda, kuras no tām tā pieņem, jo nozagti pieteikšanās dati un klonēta MAC adrese atbilst dažādām.

Ko autentificēts ports patiešām izlemj

Ar IEEE 802.1X komutators vai piekļuves punkts ir autentifikators, un tas pārsūta pieprasītāja pieteikšanās datus centrālajam pakalpojumam kā RADIUS klients. RADIUS 802.1X atribūti ļauj šim rezultātam autorizēt portu un, atkarībā no risinājuma, ievietot sesiju konkrētā VLAN vai konkrētā uzskaites kontekstā. Komutators izpilda to, ko atgriež politikas serveris, tikai tad, ja ports ir konfigurēts to izpildīt.

Tieši šajā pēdējā nosacījumā ieviešanas klusi cieš neveiksmi. Ports, kas atstāts uzraudzības vai reģistrēšanas režīmā, reģistrē paredzēto lēmumu un joprojām laiž cauri plūsmu, kas katrā ziņojumā izskatās kā strādājoša ieviešana, līdz kāds pievieno nepārvaldītu maršrutētāju.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Ierīcēm, kas nevar palaist pieprasītāju, vajadzīgs atsevišķs lēmums, nevis vispārīgs izņēmums. MAC autentifikācijas apiešana, reģistrācijas portāls vai atsevišķs ierīču VLAN ir visi likumīgi risinājumi, taču katrs ir apzināti jāizvēlas un jādokumentē. Pierakstiet, kuras ierīču klases drīkst izmantot rezerves ceļu un kas tās apstiprina. Nedokumentēts rezerves ceļš ir tieši tas, kā nepārvaldīts maršrutētājs bez kāda apstiprinājuma iegūst strādājošu VLAN.

Ko var redzēt neatšifrējot

Šifrēšana slēpj lietderīgo slodzi, nevis uzvedību. Avota un galamērķa adreses, porti, pakešu laiks, plūsmas apjoms un sesijas ilgums paliek redzami tajā robežā, kur tos vācat, un šie metadati bieži ir pietiekami, lai nepazīstamu ierīci piesaistītu portam un izejošam galamērķim. To, ko nevar izlasīt, ir lietojumprogramma tuneļa iekšienē, un bez atslēgām to nemaina nekāda pakešu tveršana.

Pastāvīgs tunelis pats par sevi nav ļaunprātīgs. Savienojumi starp vietnēm, dublēšanas aģenti un attālinātās pārvaldības rīki darbojas nepārtraukti pēc projekta, tāpēc plūsma, kas ilgst visu nakti, pati par sevi neko nepierāda. Salīdziniet to ar šim aktīvam piešķirto lomu un ar apstiprināto bāzes līniju tā segmentam.

Ierobežojiet izejošo plūsmu apzināti. Galamērķa porta atļaušana nav tas pats, kas tā izmantotās lietojumprogrammas apstiprināšana, un klasifikatora minējums nav autorizācijas lēmums. Vāciet izmeklēšanai nepieciešamos metadatus ar nosauktu īpašnieku un glabāšanas periodu, tā vietā lai pēc noklusējuma ierakstītu visu katra lietotāja plūsmu.

Ierobežojiet caur jūsu kontrolēto robežu

Pirms kaut ko izolējat, pārliecinieties, kam pieder ierīce un kur tā ir pievienota. Pēc tam izmantojiet incidenta procedūru, lai ierobežotu portu vai atsauktu sesiju, saglabājot attiecīgos žurnālus, kamēr pierādījumi vēl ir svaigi. Komutatora portu var atspējot un atkal iespējot; ražošanas virszemes savienojumu, kas apkalpo četrdesmit darbvietas, nevar atsaukt tikpat viegli.

Neveiciet pretuzbrukumu galapunktam un neatspējojiet koplietotu portu tikai tāpēc, ka skenēšana norādīja uz VPN protokolu. Abas darbības pārtrauc likumīgu darbu, neuzlabojot to piekļuves lēmumu, kas ierīci vispār ielaida.

Pieņemšanas tests ir konkrēts: apstiprināts galapunkts joprojām saņem tā lomai nepieciešamo piekļuvi, un neapstiprināta ierīce nevar iegūt līdzvērtīgu ceļu. Uzraudzība atbalsta šo robežu, un tai nav jālauž neviena šifrēšana, lai tā būtu pūliņu vērta.