Неовлашћени VPN рутер: контрола пријема пре дешифровања

Непознат рутер који се појави на интерном порту свича и одмах отвори одлазни VPN већ је прошао контролу која је најважнија. Пријем одлучује да ли ће уређај уопште добити употребљив мрежни приступ, док дешифровање само каже шта је учинио после. Исправан редослед претвара немогућ проблем инспекције у рутинско питање политике портова. То је и разлика између повратне радње и прекида рада.

Пријем се одлучује на порту

Питајте како је уређај добио употребљиву повезаност пре него што питате шта носи његов тунел. Рутер прикључен на активан зидни порт, или бежични клијент који се придружио отвореном SSID-у, примљен је политиком коју примењује тај порт или тај SSID. Ако та политика гласи „све што се прикључи добија радни VLAN“, VPN је симптом, а не рањивост.

DHCP закуп није запис о ауторизацији. Примање адресе, или њено недобијање, описује услугу доделе адреса, а не стање порта, и многи дизајни допуштају неаутентификованом уређају да достигне помоћну услугу док одбијају све остало. Табелу закупа третирајте као доказ о адресирању, а не о поверењу.

У овим истрагама мешају се три врсте доказа: одобрена особа, одобрен управљани уређај и запис на инвентарном листу. Политика порта треба јасно да каже које од њих прихвата, јер украдени приступни подаци и клонирана MAC адреса задовољавају различите.

Шта аутентификовани порт заиста одлучује

Са IEEE 802.1X, свич или приступна тачка је аутентификатор и прослеђује акредитиве подносиоца централној услузи као RADIUS клијент. RADIUS 802.1X атрибути омогућавају да тај резултат ауторизује порт и, зависно од дизајна, смести сесију у одређени VLAN или одређени рачуноводствени контекст. Свич спроводи оно што сервер политике врати само ако је порт конфигурисан да то спроведе.

Управо на овој последњој клаузули распоређивања тихо пропадају. Порт остављен у режиму надзора или евидентирања бележи предвиђену одлуку и ипак пропушта саобраћај, што у сваком извештају изгледа као распоређивање које ради, све док неко не прикључи неуправиван рутер.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Уређаји који не могу да покрену подносиоца захтевају одвојену одлуку, а не опште изузеће. Заобилажење MAC аутентификације, регистрациони портал или посвећен VLAN за уређаје сви су легитимни одговори, али сваки мора бити изабран свесно и документован. Запишите које класе уређаја смеју да користе резервни пут и ко их одобрава. Недокументован резервни пут је управо начин на који неуправиван рутер добија радни VLAN без ичијег одобрења.

Шта можете видети без дешифровања

Шифровање скрива терет, а не понашање. Изворне и одредишне адресе, портови, тајминг пакета, обим тока и трајање сесије остају видљиви на граници где их прикупљате, и ти метаподаци су често довољни да повежу непознати уређај са портом и одлазним одредиштем. Оно што не можете прочитати је апликација унутар тунела, и никакво хватање пакета то не мења без кључева.

Стални тунел није аутоматски злонамеран. Веза између локација, агенти за резервне копије и алати за даљинску администрацију раде непрекидно по дизајну, па ток који траје целу ноћ сам по себи ништа не доказује. Упоредите га са улогом додељеном том ресурсу и са одобреном основном линијом за његов сегмент.

Ограничите одлазни саобраћај намерно. Допуштање одредишног порта није исто што и одобрење апликације која га користи, а претпоставка класификатора није одлука о ауторизацији. Прикупите метаподатке потребне за истрагу, са именованим власником и роком чувања, уместо да по правилу снимате цео саобраћај сваког корисника.

Задржите кроз границу коју контролишете

Пре него што било шта изолујете, потврдите чији је уређај и где је прикључен. Затим по поступку за инциденте ограничите порт или опозовите сесију, чувајући релевантне записе док су докази још свежи. Порт свича може да се онемогући и поново омогући; производни узлазни линк који опслужује четрдесет радних места не може тако лако да се поништи.

Не узвраћајте нападом на крајњу тачку и не онемогућавајте дељени порт само зато што је скенирање указало на VPN протокол. Обе радње прекидају легитиман рад без побољшања одлуке о пријему која је уређај уопште пустила унутра.

Тест прихватања је конкретан: одобрена крајња тачка и даље добија приступ који њена улога захтева, а неодобрен уређај не може да добије еквивалентан пут. Надзор подржава ту границу и не мора никоме да разбије шифровање да би био вредан труда.