Hvorfor blokkering av VPN-porter ikke stopper uautoriserte tunneler

En brannmurregel avviser trafikken den matcher. Den avviser ikke all bruk av en tilkobling den tillater, og det er i dette gapet de fleste retningslinjer mot uautoriserte tunneler svikter. Blokkering av portene til klienten som var populær for fem år siden lar alt som går over 443 stå urørt, og det sier ingenting om en enhet som kan skrive om sine egne ruter. Bygg kontrollen rundt myndighet og destinasjoner, og les deretter flytene du faktisk tillater.

Hvorfor en portliste ikke er en retningslinje

Porter er et transportlagbegrep, og flere tunnelteknologier bruker ingen i det hele tatt. Andre deler med vilje en port med vanlig webtrafikk, fordi den porten er den som garantert slipper gjennom. En regel basert på en historisk port lister derfor opp en håndfull implementasjoner i stedet for atferdsklassen. Den eldes også dårlig: i det øyeblikket en leverandør endrer standardverdier, beskriver listen fortiden.

Verre enn det, en vellykket blokkering på én port kan leses som bevis for at hele problemet er løst, noe som forsinker kontrollene som ville ha betydd noe.

Protokollnumre og porter er forskjellige navnerom

GRE er tildelt IP-protokollnummer 47. Det er ikke TCP-port 47 og ikke UDP-port 47, og et filter skrevet for en port berører det ikke. ESP og AH ligger på protokollnummer 50 og 51 med samme egenskap. Innkapslet trafikk kan også gjemme seg inne i en tillatt tilkobling, og derfor kan en kategori eller signatur hjelpe, men den bekrefter aldri formålet på egen hånd. Tillit og dekning hører til et bestemt produkt og en bestemt utgivelse, ikke til begrepet.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Den første kommandoen viser hva du faktisk skrev; den andre viser protokolltabellen stakken kjenner; den tredje viser hvor mange økter som bruker webporten akkurat nå. Ingen av dem sier hva disse øktene er til. TLS-avlytting er et eget vedtak med egne kostnader for tillit, personvern og klientkompatibilitet. Det er ikke en forutsetning for å avvise en navngitt destinasjon, og det er heller ikke en garanti for å gjenkjenne tunneler.

Styr myndigheten enheten har

En enhet som kan endre sin egen rutetabell og filtrering har evner en vanlig applikasjon ikke har. Inntaks- og konfigurasjonsstyring er det som fjerner den evnen, og den virker uavhengig av hvilken port tunnelen ville brukt.

Det betyr at godkjente tilkoblinger får sin deklarerte rolle i stedet for ubegrenset tillatelse til å videresende for andre enheter, og det betyr at installasjons- og nettverksadministrasjonsrettigheter er en del av retningslinjen i stedet for en ettertanke.

Observer flytene som blir igjen. Korreler enhetsidentitet, tildelt rolle og flytmetadata, og behandl klassifisering som bevis med grenser i stedet for som en dom.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

En langvarig kryptert økt eller et stort byteantall er ikke bevis på misbruk: sikkerhetskopier, støtteverktøy og lenker mellom lokasjoner ser like ut. Hold innsamlingen begrenset til etterforskningen og oppbevar det du finner under prosessen som eier det.

Gjør unntakene eksplisitte

Hvert miljø har destinasjoner som må forbli tilgjengelige for oppdateringer, autentisering og gjenoppretting. Skriv dem ned med et formål og en eier, og gjennomgå dem i stedet for å oppdage dem én avbrudd om gangen.

Når virksomheten faktisk tillater en bred ekstern tjeneste, vurder myndigheten tjenesten gir, i stedet for å anta at destinasjonsetiketten gjør enhver bruk akseptabel.

Et unntak som ikke er gjennomgått er et hull med et saksnummer. Et unntak med navn, grunn og gjennomgangsdato er en beslutning.

Godta med en skriftlig plan, ikke et slagord

Godkjenning har to halvdeler: det godkjente arbeidet lykkes fortsatt, og de spesifikke forbudte tilfellene feiler i en autorisert test. Begge må skrives før endringen og gjentas etter den.

Ta med endringer i endepunkter og retningslinjer i den gjennomgangen, fordi en rute lagt til på en bærbar datamaskin kan oppheve et filter som fungerte perfekt ved kanten.

Leveransen er en eid utgangsgrense med en kjent liste over gjenværende risiko. Å hevde at noen få lukkede porter avsluttet uautorisert VPN-bruk er ikke det.