Uautorisert VPN-rutar: tilgangskontroll før dekryptering

Ein ukjend ruter som dukkar opp på ein intern svitsjport og straks opnar ein utgåande VPN, har alt passert kontrollen som tyder mest. Tilgang avgjer om eininga i det heile får brukbar nettverkstilgang, medan dekryptering berre fortel kva ho gjorde etterpå. Rett rekkjefølgje gjer eit umogleg inspeksjonsproblem til eit rutinemessig portpolitikkspørsmål. Det er også skilnaden mellom ei reversibel handling og eit avbrot.

Tilgang blir avgjord ved porten

Spør korleis eininga fekk brukbar tilkopling før du spør kva tunnelen ber. Ein ruter kopla til ein aktiv veggport, eller ein trådlaus klient som vart med i eit ope SSID, vart sleppt inn av politikken den porten eller det SSID-et brukar. Viss politikken er «alt som blir plugga inn får eit fungerande VLAN», er VPN-et eit symptom og ikkje sårbarheita.

Ein DHCP-lease er ikkje ein autorisasjonspost. Å ta imot ei adresse, eller ikkje få ei, skildrar adressefordelingstenesta, ikkje tilstanden til porten, og mange design lèt ei uautentisert eining nå ei hjelpeteneste medan alt anna blir avvist. Handsame leasetabellen som prov om adressering, ikkje om tillit.

Tre slag prov blir blanda saman i desse undersøkingane: ein godkjend person, ei godkjend styrt eining og ein føring på eit inventarkart. Portpolitikken bør vere tydeleg på kva av desse han godtek, fordi ei stolen innlogging og ei klona MAC-adresse oppfyller ulike.

Kva ein autentisert port faktisk avgjer

Med IEEE 802.1X er svitsjen eller aksesspunktet autentisatoren, og han videresender innloggingsdataa til supplikanten til ei sentral teneste som RADIUS-klient. RADIUS 802.1X-attributta lèt resultatet autorisere porten og, avhengig av designet, plassere sesjonen i eit bestemt VLAN eller ein bestemt rekneskapskontekst. Svitsjen handhevar berre det policyserveren returnerer viss porten er konfigurert til å handheve det.

Det er i denne siste klausulen at utrullingar feilar stille. Ein port som er late stå i overvakings- eller loggmodus registrerer den tiltenkte avgjerda og slepp trafikken gjennom likevel, noko som i kvar rapport ser ut som ein fungerande utrulling, heilt til nokon pluggar inn ein ustyrt ruter.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Einingar som ikkje kan køyre ein supplikant treng ei eiga avgjerd, ikkje eit generelt unntak. Omgåing av MAC-autentisering, ein registreringsportal eller eit dedikert eining-VLAN er alle legitime svar, men kvart av dei må veljast medvite og dokumenterast. Skriv ned kva einingklassar som kan bruke reservevegen, og kven som godkjenner dei. Ein udokumentert reserveveg er nøyaktig korleis ein ustyrt ruter endar med eit fungerande VLAN utan nokon si godkjenning.

Kva du kan sjå utan å dekryptere

Kryptering skjuler nyttelasta, ikkje åtferda. Kjelde- og måladdresse, portar, pakketiming, straumvolum og sesjonsvarigheit blir verande synlege ved grensa der du samlar dei inn, og desse metadataa er ofte nok til å knyte ei ukjend eining til ein port og ein utgåande destinasjon. Det du ikkje kan lese, er applikasjonen inne i tunnelen, og inga pakkefangst endrar det utan nøklar.

Ein varig tunnel er ikkje automatisk vondsinna. Lenkjer mellom lokasjonar, sikkerheitskopieringsagentar og verktøy for fjernadministrasjon går kontinuerleg etter design, så ein straum som varer heile natta provar ingenting i seg sjølv. Samanlikn han med rolla som er tildelt ressursen, og med den godkjende basislinja for segmentet.

Avgrens utgåande trafikk med vilje. Å tillate ein målport er ikkje det same som å godkjenne applikasjonen som brukar han, og eit gjet frå ein klassifikator er ikkje ei autorisasjonsavgjerd. Samle metadataa du treng for undersøkinga, med ein namngjeven eigar og eit oppbevaringsvindauge, i staden for som standard å fange all trafikk frå kvar brukar.

Demp gjennom grensa du kontrollerer

Før du isolerer noko, stadfest kven som eig eininga og kvar ho er tilkopla. Bruk deretter hendingsprosessen for å avgrense porten eller kalle tilbake sesjonen, medan du tar vare på dei relevante loggane så lenge prova er ferske. Ein svitsjport kan deaktiverast og aktiverast att; ein produksjonsuplink som tener førti skrivebord kan ikkje rullast tilbake like lett.

Ikkje gå til motåtak på endepunktet, og ikkje deaktiver ein delt port berre fordi ein skanning antyda ein VPN-protokoll. Begge handlingane avbryt legitimt arbeid utan å betre tilgangsavgjerda som sleppte eininga inn i utgangspunktet.

Akseptansetesten er konkret: eit godkjend endepunkt får framleis tilgangen rolla krev, og ei ikkje-godkjend eining kan ikkje få ein tilsvarande veg. Overvaking støttar den grensa, og ho treng ikkje bryte krypteringa til nokon for å vere verdt innsatsen.