Router VPN neautorizat: control de admitere înainte de decriptare

Un router necunoscut care apare pe un port de switch intern și deschide imediat un VPN de ieșire a trecut deja de controlul care contează cel mai mult. Admiterea decide dacă dispozitivul primește acces de rețea utilizabil, în timp ce decriptarea spune doar ce a făcut după aceea. Ordinea corectă transformă o problemă de inspecție imposibilă într-o întrebare de rutină despre politica porturilor. Este și diferența dintre o acțiune reversibilă și o întrerupere a serviciului.

Admiterea se decide la port

Întrebați cum a obținut dispozitivul conectivitate utilizabilă înainte de a întreba ce transportă tunelul său. Un router conectat la un port de perete activ, sau un client wireless care s-a alăturat unui SSID deschis, a fost admis de politica pe care o aplică acel port sau acel SSID. Dacă politica este „tot ce se conectează primește un VLAN funcțional”, VPN-ul este un simptom, nu vulnerabilitatea.

Un lease DHCP nu este o înregistrare de autorizare. Primirea unei adrese, sau neprimirea ei, descrie serviciul de alocare a adreselor, nu starea portului, iar multe proiecte lasă un dispozitiv neautentificat să ajungă la un serviciu auxiliar în timp ce refuză tot restul. Tratați tabelul de lease-uri ca dovadă despre adresare, nu despre încredere.

În aceste investigații se confundă trei tipuri de dovezi: o persoană aprobată, un dispozitiv gestionat aprobat și o înregistrare pe o fișă de inventar. Politica portului ar trebui să spună explicit pe care le acceptă, pentru că o acreditare furată și o adresă MAC clonată le îndeplinesc pe altele.

Ce decide de fapt un port autentificat

La IEEE 802.1X, switch-ul sau punctul de acces este autentificatorul și transmite acreditările suplicantului către un serviciu central ca client RADIUS. Atributele RADIUS 802.1X permit ca acel rezultat să autorizeze portul și, în funcție de proiect, să plaseze sesiunea într-un anumit VLAN sau într-un anumit context de contabilitate. Switch-ul aplică doar ce returnează serverul de politici dacă portul este configurat să aplice.

Exact în această ultimă clauză eșuează în liniște implementările. Un port lăsat în modul de monitorizare sau de jurnalizare înregistrează decizia care ar fi trebuit luată și lasă totuși traficul să treacă, ceea ce în fiecare raport pare o implementare funcțională până când cineva conectează un router negestionat.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Dispozitivele care nu pot rula un suplicant au nevoie de o decizie separată, nu de o excepție generală. Ocolirea autentificării MAC, un portal de înregistrare sau un VLAN dedicat dispozitivelor sunt toate răspunsuri legitime, dar fiecare trebuie ales deliberat și documentat. Notați ce clase de dispozitive pot folosi ruta alternativă și cine le aprobă. O rută alternativă nedocumentată este exact modul în care un router negestionat ajunge cu un VLAN funcțional fără aprobarea nimănui.

Ce puteți vedea fără a decripta

Criptarea ascunde încărcăturile utile, nu comportamentul. Adresele sursă și destinație, porturile, temporizarea pachetelor, volumul fluxurilor și durata sesiunilor rămân vizibile la frontiera unde le colectați, iar aceste metadate sunt adesea suficiente pentru a lega un dispozitiv necunoscut de un port și de o destinație de ieșire. Ce nu puteți citi este aplicația din interiorul tunelului, și nicio captură de pachete nu schimbă asta fără chei.

Un tunel persistent nu este automat rău intenționat. Legăturile între locații, agenții de backup și instrumentele de administrare la distanță rulează continuu prin proiect, așa că un flux care durează toată noaptea nu dovedește nimic de unul singur. Comparați-l cu rolul atribuit acelui activ și cu linia de bază aprobată pentru segmentul său.

Limitați traficul de ieșire în mod deliberat. Permiterea unui port de destinație nu este același lucru cu aprobarea aplicației care îl folosește, iar presupunerea unui clasificator nu este o decizie de autorizare. Colectați metadatele necesare investigației, cu un proprietar numit și o fereastră de păstrare, în loc să capturați implicit tot traficul fiecărui utilizator.

Limitați prin frontiera pe care o controlați

Înainte de a izola ceva, confirmați cui aparține dispozitivul și unde este conectat. Apoi folosiți procesul de incidente pentru a restricționa portul sau a revoca sesiunea, păstrând jurnalele relevante cât timp dovezile sunt încă proaspete. Un port de switch poate fi dezactivat și reactivat; o legătură de producție care deservește patruzeci de birouri nu se anulează la fel de ușor.

Nu contraatacați punctul final și nu dezactivați un port partajat doar pentru că o scanare a sugerat un protocol VPN. Ambele acțiuni întrerup munca legitimă fără a îmbunătăți decizia de admitere care a lăsat dispozitivul să intre.

Testul de acceptare este concret: un punct final aprobat primește în continuare accesul cerut de rolul său, iar un dispozitiv neaprobat nu poate obține o cale echivalentă. Monitorizarea susține această frontieră și nu trebuie să spargă criptarea nimănui pentru a merita efortul.