Nieautoryzowany router VPN: kontrola dostępu przed odszyfrowaniem

Nieznany router, który pojawia się na wewnętrznym porcie przełącznika i natychmiast otwiera wychodzący VPN, minął już kontrolę, która liczy się najbardziej. Dostęp decyduje, czy urządzenie w ogóle dostanie użyteczny dostęp sieciowy, a odszyfrowanie mówi tylko, co zrobiło później. Właściwa kolejność zamienia niemożliwy problem inspekcji w rutynowe pytanie o politykę portów. To także różnica między działaniem odwracalnym a awarią usługi.

Dostęp rozstrzyga się na porcie

Zapytaj, jak urządzenie uzyskało użyteczną łączność, zanim zapytasz, co niesie jego tunel. Router podłączony do aktywnego portu ściennego albo klient bezprzewodowy, który dołączył do otwartego SSID, został wpuszczony przez politykę stosowaną przez ten port lub SSID. Jeśli ta polityka brzmi „wszystko, co się podłączy, dostaje działający VLAN”, VPN jest objawem, a nie podatnością.

Dzierżawa DHCP nie jest zapisem autoryzacji. Otrzymanie adresu, albo jego brak, opisuje usługę przydzielania adresów, a nie stan portu, i wiele projektów pozwala nieuwierzytelnionemu urządzeniu dotrzeć do usługi pomocniczej, odmawiając wszystkiego innego. Tablicę dzierżaw traktuj jako dowód adresowania, nie zaufania.

W takich dochodzeniach mieszają się trzy rodzaje dowodów: zatwierdzona osoba, zatwierdzone urządzenie zarządzane i wpis na arkuszu inwentarza. Polityka portu powinna jasno mówić, które z nich akceptuje, bo skradzione poświadczenie i sklonowany adres MAC spełniają różne.

Co naprawdę rozstrzyga uwierzytelniony port

W IEEE 802.1X przełącznik lub punkt dostępowy jest uwierzytelniającym i przekazuje poświadczenia suplikanta do usługi centralnej jako klient RADIUS. Atrybuty RADIUS 802.1X pozwalają temu wynikowi autoryzować port i, zależnie od projektu, umieścić sesję w określonym VLAN albo w określonym kontekście rozliczeniowym. Przełącznik egzekwuje to, co zwróci serwer polityki, tylko jeśli port jest skonfigurowany do egzekwowania.

Właśnie na tej ostatniej klauzuli wdrożenia cicho zawodzą. Port pozostawiony w trybie monitorowania lub rejestrowania zapisuje zamierzoną decyzję i nadal przepuszcza ruch, co w każdym raporcie wygląda jak działające wdrożenie, dopóki ktoś nie podłączy niezarządzanego routera.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Urządzenia, które nie mogą uruchomić suplikanta, wymagają osobnej decyzji, a nie ogólnego wyjątku. Obejście uwierzytelniania MAC, portal rejestracyjny albo dedykowany VLAN dla urządzeń to wszystko legalne odpowiedzi, ale każdą trzeba wybrać świadomie i udokumentować. Zapisz, które klasy urządzeń mogą korzystać ze ścieżki awaryjnej i kto je zatwierdza. Nieudokumentowana ścieżka awaryjna to dokładnie ten sposób, w jaki niezarządzany router dostaje działający VLAN bez czyjejkolwiek zgody.

Co można zobaczyć bez odszyfrowania

Szyfrowanie ukrywa ładunki, nie zachowanie. Adresy źródłowe i docelowe, porty, synchronizacja pakietów, objętość przepływu i czas trwania sesji pozostają widoczne na granicy, gdzie je zbierasz, a te metadane często wystarczają, by powiązać nieznane urządzenie z portem i docelowym miejscem wyjścia. Tego, czego nie można odczytać, czyli aplikacji wewnątrz tunelu, nie zmieni żadne przechwytywanie pakietów bez kluczy.

Trwały tunel nie jest automatycznie złośliwy. Połączenia między lokalizacjami, agenci kopii zapasowych i narzędzia zdalnej administracji działają ciągle z założenia, więc przepływ trwający całą noc sam niczego nie dowodzi. Porównaj go z rolą przypisaną temu zasobowi i z zatwierdzoną linią bazową dla jego segmentu.

Ograniczaj ruch wychodzący świadomie. Zezwolenie na port docelowy to nie to samo co zatwierdzenie aplikacji, która go używa, a domysł klasyfikatora nie jest decyzją autoryzacyjną. Zbieraj metadane potrzebne do dochodzenia, z nazwanym właścicielem i okresem retencji, zamiast domyślnie przechwytywać cały ruch każdego użytkownika.

Ograniczaj przez granicę, którą kontrolujesz

Zanim cokolwiek odizolujesz, potwierdź, do kogo należy urządzenie i gdzie jest podłączone. Potem użyj procedury incydentu, aby ograniczyć port albo unieważnić sesję, zachowując odpowiednie logi, dopóki dowody są jeszcze świeże. Port przełącznika można wyłączyć i włączyć ponownie; łącza produkcyjnego obsługującego czterdzieści stanowisk nie cofa się tak łatwo.

Nie kontratakuj punktu końcowego i nie wyłączaj współdzielonego portu tylko dlatego, że skan zasugerował protokół VPN. Oba działania przerywają legalną pracę, nie poprawiając decyzji o dostępie, która w ogóle wpuściła urządzenie.

Test akceptacyjny jest konkretny: zatwierdzony punkt końcowy nadal dostaje dostęp wymagany przez jego rolę, a niezatwierdzone urządzenie nie może uzyskać równoważnej ścieżki. Monitoring wspiera tę granicę i nie musi łamać niczyjego szyfrowania, by był wart wysiłku.