Router VPN mhux awtorizzat: kontroll tad-dħul qabel id-deċifrar

Router mhux magħruf li jidher fuq port ta' switch intern u minnufih jiftaħ VPN li joħroġ diġà għadda mill-kontroll li jgħodd l-aktar. Id-dħul jiddeċiedi jekk it-tagħmir jiksibx aċċess tan-netwerk li jista' jintuża, filwaqt li d-deċifrar biss jgħidlek x'għamel wara. Li jkollok dan l-ordni sew ibiddel problema ta' spezzjoni impossibbli fi kwistjoni ta' rutina dwar il-politika tal-ports. Huwa wkoll id-differenza bejn azzjoni li tista' titreġġa' lura u waqfa fis-servizz.

Id-dħul jiġi deċiż fil-port

Staqsi kif it-tagħmir kiseb konnettività li tista' tintuża qabel ma tistaqsi x'ġorr it-tunnel tiegħu. Router imwaħħal ma' port tal-ħajt attiv, jew klijent tat-tagħmir bla wajer li ngħaqad ma' SSID miftuħ, ġie ammess mill-politika li tapplika dak il-port jew dak l-SSID. Jekk dik il-politika tgħid "kulma jitwaħħal jikseb VLAN li taħdem", il-VPN huwa sintomu u mhux il-vulnerabbiltà.

Lokazzjoni DHCP mhijiex rekord ta' awtorizzazzjoni. Li tirċievi indirizz, jew li ma tirċevihx, jiddeskrivi s-servizz ta' allokazzjoni tal-indirizzi, mhux l-istat tal-port, u ħafna disinni jħallu tagħmir mhux awtentikat jasal għal servizz ta' għajnuna filwaqt li jiċħad kull ħaġa oħra. Ittratta t-tabella tal-lokazzjonijiet bħala prova dwar l-indirizzar, mhux dwar il-fiduċja.

F'dawn l-investigazzjonijiet jitħalltu tliet tipi ta' prova: persuna approvata, tagħmir ġestit approvat u entrata fuq folja tal-inventarju. Il-politika tal-port għandha tkun ċara dwar liema minnhom taċċetta, għax kredenzjali misruqa u indirizz MAC ikkupjat jissodisfaw oħrajn differenti.

X'jiddeċiedi verament port awtentikat

B'IEEE 802.1X, is-switch jew il-punt ta' aċċess huwa l-awtentikatur, u jgħaddi l-kredenzjali tal-applikant lil servizz ċentrali bħala klijent RADIUS. L-attributi RADIUS 802.1X iħallu dak ir-riżultat jawtorizza l-port u, skont id-disinn, iqiegħed is-sessjoni fi VLAN partikolari jew f'kuntest tal-kontabilità partikolari. Is-switch jinfurza dak li jirritorna s-server tal-politika biss jekk il-port ikun ikkonfigurat biex jinfurzah.

F'dan l-aħħar kundizzjoni l-implimentazzjonijiet ifallu bil-moħbi. Port li jitħalla fil-modalità ta' monitoraġġ jew reġistrazzjoni jirreġistra d-deċiżjoni li kellha tittieħed u xorta jgħaddi t-traffiku, li f'kull rapport jidher bħala implimentazzjoni li taħdem sakemm xi ħadd iwaħħal router mhux ġestit.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Tagħmir li ma jistax iħaddem applikant jeħtieġ deċiżjoni separata, mhux eċċezzjoni ġenerali. Il-qbiż tal-awtentikazzjoni MAC, portal tar-reġistrazzjoni jew VLAN iddedikat għat-tagħmir huma kollha tweġibiet leġittimi, imma kull waħda trid tintgħażel b'mod deliberat u tiġi dokumentata. Ikteb liema klassijiet ta' tagħmir jistgħu jużaw it-triq alternattiva u min japprovahom. Triq alternattiva mhux dokumentata hija eżattament kif router mhux ġestit jikseb VLAN li taħdem mingħajr l-approvazzjoni ta' ħadd.

X'tista' tara mingħajr deċifrar

Il-kriptaġġ jaħbi l-payloads, mhux l-imġiba. L-indirizzi tas-sors u tad-destinazzjoni, il-ports, il-ħin tal-pakketti, il-volum tal-fluss u t-tul tas-sessjoni jibqgħu viżibbli fil-fruntiera fejn tiġborhom, u dawk il-metadata spiss biżżejjed biex tgħaqqad tagħmir mhux familjari ma' port u ma' destinazzjoni tal-ħruġ. Dak li ma tistax taqra huwa l-applikazzjoni ġewwa t-tunnel, u l-ebda qbid tal-pakketti ma jbiddel dan mingħajr ċwievet.

Tunnel persistenti mhuwiex awtomatikament malizzjuż. Il-konnessjonijiet bejn is-siti, l-aġenti tal-backup u l-għodod tal-amministrazzjoni mill-bogħod jaħdmu kontinwament skont id-disinn, għalhekk fluss li jdum il-lejl kollu ma jipprova xejn waħdu. Qabbel dan mar-rwol assenjat lil dak l-assi u mal-linja bażi approvata għas-segment tiegħu.

Illimita l-ħruġ b'mod intenzjonat. Li tippermetti port tad-destinazzjoni mhuwiex l-istess bħall-approvazzjoni tal-applikazzjoni li tużah, u l-istima ta' klassifikatur mhijiex deċiżjoni ta' awtorizzazzjoni. Iġbor il-metadata li għandek bżonn għall-investigazzjoni, b'sid imsemmi u tieqa ta' żamma, minflok ma taqbad kull traffiku ta' kull utent bħala default.

Irrestrinġi permezz tal-fruntiera li tikkontrolla

Qabel ma tiżola xejn, ikkonferma ta' min hu t-tagħmir u fejn huwa mwaħħal. Imbagħad uża l-proċess tal-inċidenti biex tirrestrinġi l-port jew tirrevoka s-sessjoni, filwaqt li tippreserva l-logs rilevanti sakemm l-evidenza għadha friska. Port ta' switch jista' jiġi diżattivat u jerġa' jiġi attivat; uplink tal-produzzjoni li jaqdi erbgħin skrivanija ma jistax jiġi mreġġa' lura daqshekk faċilment.

Tagħmilx kontrattakk fuq il-punt finali u tiddiżattivax port maqsum biss għax skanjar issuġġerixxa protokoll VPN. Iż-żewġ azzjonijiet jinterrompu xogħol leġittimu mingħajr ma jtejbu d-deċiżjoni tad-dħul li ħalliet it-tagħmir jidħol fl-ewwel lok.

It-test tal-aċċettazzjoni huwa konkret: punt finali approvat xorta jikseb l-aċċess li jeħtieġ ir-rwol tiegħu, u tagħmir mhux approvat ma jistax jikseb mogħdija ekwivalenti. Il-monitoraġġ jappoġġa dik il-fruntiera, u m'għandux għalfejn ikisser il-kriptaġġ ta' ħadd biex ikun ta' min is-sforz.