Nepooblaščen VPN usmerjevalnik: nadzor dostopa pred dešifriranjem

Neznan usmerjevalnik, ki se pojavi na notranjih vratih stikala in takoj odpre izhodni VPN, je že prestal nadzor, ki šteje največ. Dostop odloči, ali bo naprava sploh dobila uporaben omrežni dostop, medtem ko dešifriranje le pove, kaj je storila pozneje. Pravi vrstni red spremeni nemogoč problem pregleda v rutinsko vprašanje politike vrat. Je tudi razlika med povratnim dejanjem in izpadom.

Dostop se odloči na vratih

Vprašajte, kako je naprava dobila uporabno povezavo, preden vprašate, kaj prenaša njen tunel. Usmerjevalnik, priključen na aktivna stenska vrata, ali brezžični odjemalec, ki se je pridružil odprtemu SSID, je bil spuščen skozi politiko, ki jo uporabljajo ta vrata ali ta SSID. Če ta politika pravi „vse, kar se priključi, dobi delujoč VLAN“, je VPN simptom in ne ranljivost.

Najem DHCP ni zapis o avtorizaciji. Prejem naslova ali njegov neuspeh opisuje storitev dodeljevanja naslovov, ne stanja vrat, in številne zasnove pustijo neoverjeni napravi doseči pomožno storitev, medtem ko vse drugo zavrnejo. Tabelo najemov obravnavajte kot dokaz o naslavljanju, ne o zaupanju.

V teh preiskavah se mešajo tri vrste dokazov: odobrena oseba, odobrena upravljana naprava in vnos na popisnem listu. Politika vrat bi morala jasno povedati, katere od njih sprejema, ker ukradene poverilnice in kloniran naslov MAC izpolnjujejo različne.

Kaj overjena vrata v resnici odločijo

Pri IEEE 802.1X je stikalo ali dostopna točka overitelj in poverilnice prosilca posreduje v osrednjo storitev kot odjemalec RADIUS. Atributi RADIUS 802.1X omogočajo, da ta rezultat avtorizira vrata in glede na zasnovo postavi sejo v določen VLAN ali v določen računovodski kontekst. Stikalo uveljavi le tisto, kar vrne strežnik politik, če so vrata nastavljena za uveljavljanje.

Prav na tej zadnji klavzuli uvajanja tiho spodletijo. Vrata, ki ostanejo v načinu spremljanja ali beleženja, zabeležijo predvideno odločitev in promet vseeno spustijo skozi, kar je v vsakem poročilu videti kot delujoča uvedba, dokler nekdo ne priključi neupravljanega usmerjevalnika.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Naprave, ki ne morejo pognati prosilca, potrebujejo ločeno odločitev, ne splošne izjeme. Obhod overjanja MAC, registracijski portal ali namenski VLAN za naprave so vsi legitimni odgovori, a vsakega je treba izbrati zavestno in dokumentirati. Zapišite, katere razrede naprav smejo uporabljati rezervno pot in kdo jih odobri. Nedokumentirana rezervna pot je natanko tisto, po čemer neupravljan usmerjevalnik dobi delujoč VLAN brez čigave koli odobritve.

Kaj lahko vidite brez dešifriranja

Šifriranje skrije tovor, ne vedenja. Izvorni in ciljni naslovi, vrata, časovni potek paketov, obseg toka in trajanje seje ostanejo vidni na meji, kjer jih zbirate, in ti metapodatki pogosto zadostujejo, da neznano napravo povežejo z vrati in izhodnim ciljem. Česar ne morete prebrati, je aplikacija znotraj tunela, in nobeno zajemanje paketov tega ne spremeni brez ključev.

Trajen tunel ni samodejno zlonameren. Povezave med lokacijami, agenti za varnostne kopije in orodja za oddaljeno upravljanje delujejo neprekinjeno po zasnovi, zato tok, ki traja vso noč, sam po sebi ničesar ne dokazuje. Primerjajte ga z vlogo, dodeljeno temu sredstvu, in z odobreno izhodiščno črto za njegov segment.

Izhodni promet omejujte namerno. Dovoliti ciljna vrata ni isto kot odobriti aplikacijo, ki jih uporablja, in ugibanje klasifikatorja ni odločitev o avtorizaciji. Zberite metapodatke, ki jih potrebujete za preiskavo, z imenovanim lastnikom in obdobjem hrambe, namesto da privzeto zajemate ves promet vsakega uporabnika.

Zadržite skozi mejo, ki jo nadzirate

Preden karkoli izolirate, potrdite, čigava je naprava in kam je priključena. Nato po incidentnem postopku omejite vrata ali prekličete sejo, pri tem pa ohranite ustrezne dnevnike, dokler so dokazi še sveži. Vrata stikala je mogoče onemogočiti in znova omogočiti; produkcijske povezave navzgor, ki služi štiridesetim mizam, ni mogoče tako zlahka razveljaviti.

Ne izvedite protinapada na končno točko in ne onemogočite skupnih vrat samo zato, ker je pregled nakazal protokol VPN. Oba ukrepa prekineta zakonito delo, ne da bi izboljšala odločitev o dostopu, ki je napravo sploh spustila noter.

Sprejemni preskus je konkreten: odobrena končna točka še vedno dobi dostop, ki ga zahteva njena vloga, neodobrena naprava pa ne more dobiti enakovredne poti. Spremljanje podpira to mejo in ji ni treba prelomiti nikogaršnjega šifriranja, da bi bilo vredno truda.