Kako ispitati šta sigurnosni prekidač pokriva na kompromitovanom računaru

Pokrenite test prekida veze, pročitajte rezultat svakog sloja i vidite gdje se sigurnosni prekidač zaustavlja: blokira putanje, a ne softver koji čita podatke prije šifrovanja.

Uključite sigurnosni prekidač, isključite tunelski server i gledajte šta mašina i dalje radi. Test vrijedi pokrenuti jer razdvaja šta firewall stvarno provodi od onoga što ste pretpostavili, a rezultati su uži nego što većina stranica proizvoda sugeriše. Sigurnosni prekidač upravlja mrežnim putanjama; ne upravlja softverom koji već radi na uređaju. Ovu sekvencu izvodim na svakoj mašini na kojoj klijent tvrdi da radi fail-closed i traje oko deset minuta.

Počnite od klijenta, ne od servera

Tačka provedbe je host na kojem sjedite: firewall operativnog sistema, pomoćna usluga ili vlastiti drajver VPN klijenta. To je važno jer je sve što prekidač može učiniti ograničeno onim što taj sloj vidi. Ako klijent blokadu izvodi rutnom pravilom plus oznakom, sve s dovoljno privilegija može dodati vlastito pravilo; ako koristi kernel tabelu firewalla, iste privilegije mogu urediti tabelu. Snaga šifre nikad ne ulazi u ovo pitanje.

Prvo treba ustanoviti ko posjeduje politiku na ovom uređaju i šta smije nadjačati. Na upravljanoj radnoj mašini odgovor je obično agent organizacije za krajnje tačke, a lični VPN ne uklanja te mogućnosti, kako god tunel bio konfigurisan.

Prvi korak: potvrdite blokadu na putanjama za koje mislite da ih pokriva

Isključite tunel na daljem kraju, a ne na klijentu, tako da klijent i dalje vjeruje da bi trebao biti povezan. Zatim isprobajte ono što bi osoba zaista isprobala:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Želite klijent koji brzo i čisto pada, ne onaj koji visi do isteka vremena u pregledniku. Visenje obično znači da pakete tiho odbacuje pravilo bez odbijanja, što je prihvatljivo, ali može značiti i da je klijent ostavio zastarjelu zadanu rutu prema mrtvom interfejsu. Pročitajte rutnu tabelu dok je tunel isključen: zadana ruta koja još pokazuje na tunelski uređaj i firewall pravilo koje blokira samo nove odlazne veze dva su različita stanja i samo je jedno od njih fail-closed.

Ponovite iste komande s uključenom i isključenom opcijom dozvole lokalne mreže. Taj prekidač je mjesto većine iznenađenja, jer ponovo otvara putanju koju je ostatak politike trebao zatvoriti.

Drugi korak: provjerite DNS i IPv6 kao odvojene putanje

Razrješavanje imena je praznina koja nadživi većinu implementacija, jer upit može izaći kroz nešto drugo osim sistemskog resolvera. Pitajte alatom koji zanemaruje vašu konfiguraciju resolvera i provjerite stranu v6 dok ste tamo:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Prazni odgovori na oba upita imena s isključenim tunelom rezultat su koji želite. Ako drugi upit odgovori, tvrdo kodirana adresa resolvera je dostupna i tunel nije jedini put s mašine. Ako uspije samo zahtjev v6, politika pokriva IPv4 i zanemaruje IPv6, što je isto curenje u drugoj porodici adresa.

Preglednici to otežavaju čitanje izvana, jer preglednik podešen na DNS preko HTTPS razrješava upit kroz HTTPS zahtjev: upit je blokiran samo onoliko koliko je port 443 prema toj krajnjoj tački. Na hostu gdje politika dozvoljava lokalnu podmrežu, taj zahtjev još može doći do resolvera na LAN-u.

Treći korak: odvojite mrežnu izloženost od izloženosti krajnjih tačaka

Sada dio do kojeg nijedno firewall pravilo ne dopire. Sigurnosni prekidač blokira putanje s mašine; ne sprječava softver na mašini da čita podatke prije šifrovanja i ne sprječava taj softver da legitimno koristi tunel. Keylogger, zlonamjerni dodatak, ostavljen otključan ekran, klijent za sinhronizaciju sa širokim dozvolama: sve to prenosi informacije preko veze koju prekidač rado dozvoljava.

Isto vrijedi za nadzorni softver koji je poslodavac namjerno instalirao. Blokiranje ruta ga ne uklanja, a kupovina novog VPN servera nije popravka, jer izloženost je iznad tunela.

Menadžer međuspremnika koji otprema na cloud račun to oštro pokazuje. Saobraćaj je šifrovan, odredište dozvoljeno, a sigurnosni prekidač cijelo vrijeme prijavljuje zdravo stanje.

Četvrti korak: napišite tvrdnju koju vaš test podržava

Nakon testa prekida možete navesti konkretne činjenice: koje su aplikacije pale, koje su putanje stale, kako su se ponašali DNS i IPv6 i da li je blokada izdržala kad je tunel pao. Ne možete tvrditi da je operativni sistem čist, niti da će usluga na daljem kraju čuvati vašu prijavu privatnom.

Držite dva problema odvojeno i dajte svakom vlastitu kontrolu:

  • Sigurnosni prekidač: definisani zahtjev za neuspjeh, potvrđen testom prekida koji ponavljate nakon svakog ažuriranja klijenta.
  • Povjerenje u uređaj: podržana ažuriranja, zaštita krajnjih tačaka iz pouzdanog izvora, pregled neobjašnjenih dozvola i zahtjeva za autentifikaciju.
  • Incident: slijedite proces platforme ili organizacije kad se sumnja na kompromitaciju; novi server nije korak čišćenja.
  • Otkrivanje: kad tražite pomoć, ne lijepite privatne ključeve ni cijele dijagnostičke arhive, jer logovi i snimci ekrana nose iste tajne kao veza.

Pokrenite sekvencu ponovo nakon sljedećeg ažuriranja, jer je sigurnosni prekidač konfiguracija koja se kreće s verzijama. Test je jedini dokaz da je ponašanje na koje se oslanjate još uvijek ono koje dobijate.

Povezani članci