Prečo blokovanie portov VPN nezastaví neautorizované tunely

Pravidlo firewallu odmieta prevádzku, na ktorú sa vzťahuje. Neodmieta však každé použitie spojenia, ktoré povoľuje, a práve v tejto medzere zlyhávajú väčšina politík proti neautorizovaným tunelom. Blokovanie portov klienta, ktorý bol populárny pred piatimi rokmi, necháva nedotknuté všetko, čo ide cez 443, a nehovorí nič o zariadení, ktoré dokáže prepísať vlastné trasy. Postavte riadenie na oprávneniach a cieľoch a potom čítajte toky, ktoré skutočne povoľujete.

Prečo zoznam portov nie je politikou

Porty sú koncept transportnej vrstvy a niekoľko tunelových technológií ich vôbec nepoužíva. Iné zámerne zdieľajú port s bežnou webovou prevádzkou, pretože tento port je ten, ktorý zaručene prejde. Pravidlo viazané na historický port preto vypočítava hŕstku implementácií namiesto triedy správania. Zle tiež starne: vo chvíli, keď poskytovateľ zmení predvolené hodnoty, zoznam opisuje minulosť.

Horšie, úspešné zablokovanie jedného portu sa dá čítať ako dôkaz, že je celý problém vyriešený, čo potom oddiali kontroly, na ktorých by záležalo.

Čísla protokolov a porty sú rôzne menné priestory

GRE má priradené číslo IP protokolu 47. Nie je to TCP port 47 ani UDP port 47 a filter napísaný pre port sa ho netýka. ESP a AH ležia na číslach protokolov 50 a 51 s rovnakou vlastnosťou. Zapuzdrená prevádzka sa môže skrývať aj vnútri povoleného spojenia, a preto môže kategória alebo signatúra pomôcť, ale nikdy sama o sebe nepotvrdzuje účel. Dôvera a pokrytie patria konkrétnemu produktu a vydaniu, nie konceptu.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Prvý príkaz ukazuje, čo ste skutočne napísali; druhý ukazuje tabuľku protokolov, ktorú zásobník pozná; tretí ukazuje, koľko relácií práve teraz používa webový port. Žiadny z nich nehovorí, na čo tieto relácie slúžia. Odpískavanie TLS je samostatné rozhodnutie s vlastnými nákladmi na dôveru, súkromie a kompatibilitu s klientmi. Nie je to predpoklad pre odmietnutie pomenovaného cieľa a nie je to ani záruka rozpoznania tunelov.

Kontrolujte oprávnenia zariadenia

Zariadenie, ktoré môže zmeniť vlastnú smerovaciu tabuľku a filtrovanie, má schopnosti, ktoré bežná aplikácia nemá. Správa prijatia a konfigurácie je to, čo túto schopnosť odstraňuje, a pôsobí bez ohľadu na to, ktorý port by tunel použil.

To znamená, že schválené pripojenia dostávajú svoju deklarovanú rolu namiesto neobmedzeného oprávnenia preposielať za iné zariadenia, a znamená to, že práva na inštaláciu a správu siete sú súčasťou politiky namiesto dodatočného nápadu.

Sledujte toky, ktoré zostávajú. Prepojte identitu zariadenia, pridelenú rolu a metadáta toku a klasifikáciu berte ako dôkaz s obmedzeniami, nie ako rozsudok.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Dlhotrvajúca šifrovaná relácia alebo veľký počet bajtov nie je dôkazom zneužitia: zálohy, nástroje podpory a spoje medzi lokalitami vyzerajú rovnako. Obmedzte zber na vyšetrovanie a uchovajte, čo nájdete, v rámci procesu, ktorý to vlastní.

Urobte výnimky explicitnými

Každé prostredie má ciele, ktoré musia zostať dostupné pre aktualizácie, overovanie a obnovu. Zapíšte ich s účelom a vlastníkom a kontrolujte ich, namiesto toho, aby ste ich objavovali jeden výpadok po druhom.

Keď firma skutočne povolí širokú externú službu, posúďte oprávnenia, ktoré táto služba poskytuje, namiesto predpokladu, že označenie cieľa robí každé použitie prijateľným.

Nekontrolovaná výnimka je diera s číslom tiketu. Výnimka s názvom, dôvodom a dátumom kontroly je rozhodnutie.

Prijmite s písomným plánom, nie so sloganom

Prijatie má dve polovice: schválená práca stále uspeje a konkrétne zakázané prípady zlyhajú v autorizovanom teste. Obe treba napísať pred zmenou a zopakovať po nej.

Zahrňte do tejto kontroly zmeny koncových bodov a politiky, pretože trasa pridaná na notebooku môže zrušiť filter, ktorý na okraji fungoval dokonale.

Výsledkom je vlastná výstupná hranica so známym zoznamom zostávajúceho rizika. Tvrdiť, že niekoľko zavretých portov ukončilo neautorizované používanie VPN, tým nie je.