Неовластен VPN рутер: контрола на приемот пред дешифрирање

Непознат рутер што се појавува на внатрешен порт на комутатор и веднаш отвора излезен VPN веќе ја поминал контролата што е најважна. Приемот одлучува дали уредот воопшто ќе добие употреблив мрежен пристап, додека дешифрирањето само кажува што направил потоа. Правилниот редослед ја претвора невозможната инспекциска задача во рутинско прашање за портната политика. Ова е и разликата меѓу повратна акција и прекин на работата.

Приемот се одлучува на портот

Прашајте како уредот добил употреблива поврзаност пред да прашате што носи неговиот тунел. Рутер приклучен на активен ѕиден порт, или безжичен клиент што се приклучил на отворен SSID, бил примен со политиката што ја применува тој порт или тој SSID. Ако таа политика гласи „сѐ што ќе се приклучи добива работен VLAN“, тогаш VPN е симптом, а не ранливоста.

DHCP закупот не е запис за авторизација. Добивањето адреса, или недобивањето, ја опишува услугата за доделување адреси, а не состојбата на портот, и многу решенија дозволуваат неавтентифициран уред да стигне до помошна услуга додека го одбиваат сето останато. Табелата со закупи третирајте ја како доказ за адресирањето, а не за довербата.

Во овие истраги се мешаат три вида докази: одобрено лице, одобрен управуван уред и запис на лист за инвентар. Портната политика треба јасно да каже кои од нив ги прифаќа, бидејќи украдените акредитиви и клонираната MAC адреса задоволуваат различни.

Што навистина одлучува автентифициран порт

Со IEEE 802.1X, комутаторот или пристапната точка е автентикаторот и ги проследува акредитивите на барателот до централна услуга како RADIUS клиент. RADIUS 802.1X атрибути дозволуваат тој резултат да го авторизира портот и, зависно од решението, сесијата да ја смести во одреден VLAN или во одреден сметководствен контекст. Комутаторот го спроведува она што го враќа серверот за политики само ако портот е конфигуриран да го спроведе.

Токму во оваа последна клаузула распоредувањата тивко пропаѓаат. Порт оставен во режим на набљудување или евидентирање ја запишува предвидената одлука и сепак го пропушта сообраќајот, што во секој извештај изгледа како распоредување што работи, сѐ додека некој не приклучи неупразуван рутер.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Уредите што не можат да извршат барател бараат одделна одлука, а не општ исклучок. Заобиколувањето на MAC автентикацијата, портал за регистрација или посветен VLAN за уреди се сите легитимни одговори, но секој мора да биде избран свесно и документиран. Запишете кои класи уреди смеат да го користат резервниот пат и кој ги одобрува. Недокументираниот резервен пат е токму начинот на кој неупразуван рутер добива работен VLAN без ничие одобрување.

Што може да се види без дешифрирање

Шифрирањето ги крие товарите, а не однесувањето. Изворните и одредишните адреси, портовите, временскиот распоред на пакетите, обемот на текот и траењето на сесијата остануваат видливи на границата каде што ги собирате, и тие метаподатоци често се доволни за да се поврзе непознат уред со порт и излезна дестинација. Она што не може да се прочита е апликацијата внатре во тунелот, и без клучеви тоа не го менува никакво фаќање пакети.

Постојан тунел не е автоматски злонамерен. Врските меѓу локациите, агентите за резервни копии и алатките за далечинско управување работат постојано по проект, па тек што трае цела ноќ сам по себе ништо не докажува. Споредете го со улогата доделена на тој ресурс и со одобрената основна линија за неговиот сегмент.

Ограничете го излезниот сообраќај намерно. Дозволувањето одредишен порт не е исто што и одобрување на апликацијата што го користи, а претпоставката на класификаторот не е одлука за авторизација. Соберете ги метаподатоците потребни за истрагата, со именуван сопственик и рок на чување, наместо по правило да го фаќате целиот сообраќај на секој корисник.

Задржете преку границата што ја контролирате

Пред да изолирате нешто, потврдете чиј е уредот и каде е приклучен. Потоа користете ја постапката за инциденти за да го ограничите портот или да ја откажете сесијата, чувајќи ги релевантните записи додека доказите се сѐ уште свежи. Порт на комутатор може да се оневозможи и повторно да се овозможи; производствената нагорна врска што опслужува четириесет работни маси не се враќа толку лесно.

Не возвраќајте со напад врз крајната точка и не оневозможувајте споделен порт само затоа што скенирањето навестило VPN протокол. Двете дејства прекинуваат легитимна работа без да ја подобрат одлуката за прием што го пуштила уредот внатре.

Тестот за прифаќање е конкретен: одобрената крајна точка сѐ уште го добива пристапот што го бара нејзината улога, а неодобрен уред не може да добие еквивалентен пат. Набљудувањето ја поддржува таа граница и не мора да крши нечие шифрирање за да вреди труда.