Neautorizovaný VPN router: kontrola prístupu pred dešifrovaním

Neznámy router, ktorý sa objaví na internom porte prepínača a hneď otvorí odchádzajúcu VPN, už prešiel kontrolou, na ktorej záleží najviac. Prístup rozhoduje, či zariadenie vôbec získa použiteľný sieťový prístup, zatiaľ čo dešifrovanie len hovorí, čo urobilo potom. Správne poradie mení nemožný problém inšpekcie na rutinnú otázku portovej politiky. Je to aj rozdiel medzi vratným zásahom a výpadkom.

Prístup sa rozhoduje na porte

Pýtajte sa, ako zariadenie získalo použiteľné pripojenie, skôr než sa spýtate, čo nesie jeho tunel. Router pripojený k aktívnemu nástennému portu alebo bezdrôtový klient, ktorý sa pripojil k otvorenej SSID, bol vpustený politikou, ktorú tento port alebo SSID uplatňuje. Ak táto politika znie „všetko, čo sa zapojí, dostane funkčnú VLAN“, je VPN príznak, nie zraniteľnosť.

DHCP lease nie je záznam o autorizácii. Prijatie adresy alebo jej neprijatie opisuje službu prideľovania adries, nie stav portu, a mnohé návrhy nechajú neautentizované zariadenie dosiahnuť pomocnú službu, pričom všetko ostatné odmietajú. Tabuľku leaseov berte ako dôkaz o adresovaní, nie o dôvere.

V týchto vyšetrovaniach sa miešajú tri druhy dôkazov: schválená osoba, schválené spravované zariadenie a záznam v inventárnom liste. Portová politika by mala výslovne uviesť, ktoré z nich prijíma, pretože ukradnuté prihlasovacie údaje a klonovaná MAC adresa spĺňajú rôzne.

Čo autentizovaný port skutočne rozhoduje

Pri IEEE 802.1X je prepínač alebo prístupový bod autentizátorom a odovzdáva prihlasovacie údaje žiadateľa centrálnej službe ako klient RADIUS. Atribúty RADIUS 802.1X umožňujú, aby tento výsledok autorizoval port a podľa návrhu umiestnil reláciu do určitej VLAN alebo do určitého účtovného kontextu. Prepínač vynucuje to, čo vráti server politiky, len ak je port nakonfigurovaný na vynucovanie.

Práve na tejto poslednej klauzule nasadenia ticho zlyhávajú. Port ponechaný v režime monitorovania alebo zaznamenávania zaznamená zamýšľané rozhodnutie a napriek tomu prepúšťa prevádzku, čo v každej správe vyzerá ako funkčné nasadenie, kým niekto nezapojí nespravovaný router.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Zariadenia, ktoré nedokážu spustiť žiadateľa, potrebujú samostatné rozhodnutie, nie plošnú výnimku. Obchádzanie autentizácie MAC, registračný portál alebo vyhradená VLAN pre zariadenia sú všetko legitímne odpovede, ale každú treba zvoliť vedome a zdokumentovať. Zapíšte, ktoré triedy zariadení smú použiť záložnú cestu a kto ich schvaľuje. Nezdokumentovaná záložná cesta je presne to, ako nespravovaný router získa funkčnú VLAN bez niekoho schválenia.

Čo môžete vidieť bez dešifrovania

Šifrovanie skrýva obsah, nie správanie. Zdrojové a cieľové adresy, porty, časovanie paketov, objem toku a trvanie relácie zostávajú viditeľné na hranici, kde ich zbierate, a tieto metadáta často stačia na spojenie neznámeho zariadenia s portom a odchádzajúcim cieľom. Čo prečítať nemožno, je aplikácia vnútri tunela, a žiadne zachytávanie paketov to bez kľúčov nezmení.

Trvalý tunel nie je automaticky škodlivý. Prepojenia medzi lokalitami, zálohovací agenti a nástroje vzdialenej správy bežia nepretržite podľa návrhu, takže tok, ktorý trvá celú noc, sám o sebe nič nedokazuje. Porovnajte ho s rolou pridelenou tomuto aktívu a so schválenou základnou líniou pre jeho segment.

Obmedzujte odchádzajúcu prevádzku zámerne. Povoliť cieľový port nie je to isté ako schváliť aplikáciu, ktorá ho používa, a odhad klasifikátora nie je rozhodnutím o autorizácii. Zbierajte metadáta potrebné na vyšetrovanie, s určeným vlastníkom a dobou uchovávania, namiesto toho, aby ste predvolene zachytávali všetku prevádzku každého používateľa.

Zastavte to cez hranicu, ktorú ovládate

Skôr než čokoľvek izolujete, overte, komu zariadenie patrí a kde je pripojené. Potom pomocou incidentného procesu obmedzte port alebo zrušte reláciu a uchovajte príslušné záznamy, kým sú dôkazy ešte čerstvé. Port prepínača možno vypnúť a znova zapnúť; produkčné chrbticové pripojenie, ktoré obsluhuje štyridsať stolov, sa tak ľahko vrátiť nedá.

Nepodnikajte protiútok voči koncovému bodu a nevypínajte zdieľaný port len preto, že sken naznačil protokol VPN. Oba zásahy prerušia legitímnu prácu bez toho, aby zlepšili rozhodnutie o prístupe, ktoré zariadenie vôbec pustilo dnu.

Akceptačný test je konkrétny: schválený koncový bod stále dostane prístup, ktorý jeho rola vyžaduje, a neschválené zariadenie nemôže získať rovnocennú cestu. Monitorovanie túto hranicu podporuje a nemusí lámať niekomu šifrovanie, aby stálo za tú námahu.