Twoja brama VPN została przejęta: co jest naprawdę wystawione

Brama VPN stoi na końcu tunelu, który chroni, co oznacza, że kończy to szyfrowanie, a nie przepuszcza je dalej. Jeśli atakujący kontroluje host, tunel nadal wygląda zdrowo z zewnątrz, podczas gdy maszyna w środku nie jest już godna zaufania. Użyteczne pytanie nie brzmi, czy wszystko jest odszyfrowywane. Brzmi, co ten host mógł zobaczyć, dokąd mógł dotrzeć i jakie sekrety były na nim faktycznie przechowywane. Te trzy odpowiedzi bardzo się różnią, a reakcja różni się wraz z nimi.

Brama kończy tunel, więc widzi jego wnętrze

Szyfrowanie w VPN odbywa się skok po skoku, a brama jest tym skokiem. Zdejmuje zewnętrzną warstwę, stosuje politykę i przekazuje wewnętrzny pakiet, więc każdy przenoszony pakiet w pewnym momencie istnieje w czytelnej formie w pamięci tego hosta. To projekt, a nie wada. Dlatego przejęcie bramy to inne zdarzenie niż przejęcie kryptografii tunelu.

Pierwszą rzeczą, którą zyskuje atakujący, jest pozycja: możliwość obserwowania przenoszonego ruchu, zmiany przekazywania lub odpowiadania w miejsce backendu. To, co zyskuje dalej, zależy od hosta, i tutaj ludzie przeceniają. Sam dostęp do bramy nie przekazuje kluczy sesji TLS przeglądarki, ponieważ nigdy nie były na bramie.

Trzy ekspozycje, które nie mają tego samego rozmiaru

Podziel pytanie na przenoszony ruch, osiągalne systemy i przechowywane sekrety, a następnie odpowiedz na każde osobno.

Środkowy wiersz jest tym, który się pomija. Brama zwykle ma trasę do sieci prywatnych i adres źródłowy, któremu backendy już ufają, więc interesujące pytanie brzmi, czego te backendy pozwalają z tego adresu. Wąska polityka dostępu klientów jest dobrą kontrolą, ale atakujący na hoście nie jest ograniczony do interfejsu, którego użyłby zwykły klient.

Dolny wiersz decyduje, jak długo potrwa incydent. Klucz serwera i klucz CA mają zupełnie inne promienie rażenia, podobnie jak lokalne konto administratora i token monitorowania tylko do odczytu.

HTTPS w tunelu nadal jest HTTPS

TLS aplikacji kończy się w aplikacji, a nie na bramie VPN, więc przejęta brama obserwuje dla tych przepływów tylko szyfrogram. To realna granica tego, co zyskuje atakujący, i warto to powiedzieć wprost, ponieważ przeciwne twierdzenie szerzy panikę i złe decyzje. Dwa warunki to łamią. Jeśli na ścieżce znajduje się komponent inspekcji z zaufanym certyfikatem, brama może z założenia widzieć tekst jawny. Jeśli sam punkt końcowy aplikacji jest przejęty, tunel nie ma znaczenia.

Odpowiedź na pytanie, co widzieli, jest więc warunkowa, i należy ją zapisać jako warunki, a nie ogłaszać jako wyrok.

Co musi się zmienić, zanim znów jej zaufasz

Odbudowa hosta jest konieczna i rzadko wystarczająca. Atakujący, który nadal ma konto administracyjne, dane uwierzytelniające wdrożenia lub klucz podpisywania, może przywrócić host tak, jak chce. Odtworzenie musi zacząć się od ścieżki administracyjnej, która nie zależy od przejętej maszyny.

Przed decyzją, co rotować, zinwentaryzuj, co na nim było. Klucze, konta usług, tokeny API, użytkownicy lokalni, zadania zaplanowane, relacje zaufania i potok wdrożeniowy są kandydatami, a każdy ma właściciela, który powinien to potwierdzić.

ss -lntup
getent passwd
crontab -l
ip route show table all

Ta lista to najszybszy sposób, by zobaczyć, co host oferował i dokąd mógł dotrzeć. Najpierw zabezpiecz dowody, zgodnie z procesem właściciela reagowania, ponieważ odbudowa niszczy dokładnie to, czego potrzebuje śledztwo. NIST SP 800-61 Wydanie 3 traktuje przygotowanie, wykrywanie, reagowanie i odtworzenie jako części jednego procesu ryzyka, a nie jako instrukcję restartu.

Granice, które czynią następny tańszym

Warto zbudować cztery granice, zanim będą potrzebne. Utrzymuj niezależną ścieżkę odtworzenia, która nie uwierzytelnia się przez bramę. Utrzymuj uprawnienia do podpisywania oddzielnie od hosta, który obsługuje ruch. Ogranicz, dokąd brama może dotrzeć, aby przejęta brama nie była automatycznie przejętą siecią zarządzania. I zapisuj, do kogo należy każdy sekret uwierzytelniający, aby rotacja była telefonem, a nie projektem archeologicznym.

Żadna z nich nie zapobiega przejęciu. Ograniczają je, i robią różnicę między złym tygodniem a złym kwartałem.