Uautorisert VPN-ruter: tilgangskontroll før dekryptering

En ukjent ruter som dukker opp på en intern svitsjport og straks åpner en utgående VPN, har allerede passert kontrollen som betyr mest. Tilgang avgjør om enheten i det hele tatt får brukbar nettverkstilgang, mens dekryptering bare forteller hva den gjorde etterpå. Riktig rekkefølge gjør et umulig inspeksjonsproblem til et rutinemessig portpolitikkspørsmål. Det er også forskjellen mellom en reversibel handling og et avbrudd.

Tilgang avgjøres ved porten

Spør hvordan enheten fikk brukbar tilkobling før du spør hva tunnelen bærer. En ruter koblet til en aktiv veggport, eller en trådløs klient som ble med i et åpent SSID, ble sluppet inn av politikken den porten eller det SSID-et bruker. Hvis politikken er «alt som plugges inn får et fungerende VLAN», er VPN-et et symptom og ikke sårbarheten.

En DHCP-lease er ikke en autorisasjonspost. Å motta en adresse, eller ikke å få en, beskriver adressefordelingstjenesten, ikke portens tilstand, og mange design lar en uautentisert enhet nå en hjelpetjeneste mens alt annet avvises. Behandle leasetabellen som bevis om adressering, ikke om tillit.

Tre slags bevis blandes sammen i disse undersøkelsene: en godkjent person, en godkjent administrert enhet og en oppføring på et inventarkart. Portpolitikken bør være tydelig på hvilke av disse den godtar, fordi en stjålet innlogging og en klonet MAC-adresse oppfyller forskjellige.

Hva en autentisert port faktisk bestemmer

Med IEEE 802.1X er svitsjen eller aksesspunktet autentisatoren, og den videresender supplikantens innloggingsopplysninger til en sentral tjeneste som RADIUS-klient. RADIUS 802.1X-attributtene lar resultatet autorisere porten og, avhengig av designet, plassere sesjonen i et bestemt VLAN eller en bestemt regnskapskontekst. Svitsjen håndhever bare det policyserveren returnerer hvis porten er konfigurert til å håndheve det.

Det er i denne siste klausulen at utrullinger feiler stille. En port som er latt stå i overvåkings- eller loggmodus registrerer den tiltenkte beslutningen og slipper trafikken gjennom likevel, noe som i hver rapport ser ut som en fungerende utrulling, helt til noen plugger inn en uadministrert ruter.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Enheter som ikke kan kjøre en supplikant trenger en egen beslutning, ikke et generelt unntak. Omgåelse av MAC-autentisering, en registreringsportal eller et dedikert enhets-VLAN er alle legitime svar, men hvert av dem må velges bevisst og dokumenteres. Skriv ned hvilke enhetsklasser som kan bruke reserveveien, og hvem som godkjenner dem. En udokumentert reservevei er nøyaktig hvordan en uadministrert ruter ender med et fungerende VLAN uten noens godkjenning.

Hva du kan se uten å dekryptere

Kryptering skjuler nyttelasten, ikke atferden. Kilde- og måladdresse, porter, pakketiming, strømningsvolum og sesjonsvarighet forblir synlige ved grensen der du samler dem inn, og disse metadataene er ofte nok til å knytte en ukjent enhet til en port og en utgående destinasjon. Det du ikke kan lese, er applikasjonen inne i tunnelen, og ingen pakkefangst endrer det uten nøkler.

En vedvarende tunnel er ikke automatisk ondsinnet. Lenker mellom lokasjoner, sikkerhetskopieringsagenter og verktøy for fjernadministrasjon går kontinuerlig etter design, så en strøm som varer hele natten beviser ingenting i seg selv. Sammenlign den med rollen som er tildelt ressursen, og med den godkjente basislinjen for segmentet.

Avgrens utgående trafikk med vilje. Å tillate en målport er ikke det samme som å godkjenne applikasjonen som bruker den, og en klassifikators gjetning er ikke en autorisasjonsbeslutning. Samle metadataene du trenger for undersøkelsen, med en navngitt eier og et oppbevaringsvindu, i stedet for som standard å fange all trafikk fra hver bruker.

Inndem gjennom grensen du kontrollerer

Før du isolerer noe, bekreft hvem som eier enheten og hvor den er tilkoblet. Bruk deretter hendelsesprosessen for å begrense porten eller tilbakekalle sesjonen, mens du bevarer de relevante loggene så lenge bevisene er ferske. En svitsjport kan deaktiveres og aktiveres igjen; en produksjonsuplink som betjener førti skrivebord kan ikke rulles tilbake like lett.

Ikke angrip endepunktet tilbake, og ikke deaktiver en delt port bare fordi en skanning antydet en VPN-protokoll. Begge handlingene avbryter legitimt arbeid uten å forbedre tilgangsbeslutningen som slapp enheten inn i utgangspunktet.

Akseptansetesten er konkret: et godkjent endepunkt får fortsatt tilgangen rollen krever, og en ikke-godkjent enhet kan ikke få en tilsvarende vei. Overvåking støtter den grensen, og den trenger ikke å bryte noens kryptering for å være verdt innsatsen.