Varför blockering av VPN-portar inte stoppar obehöriga tunnlar

En brandväggsregel nekar den trafik den matchar. Den nekar inte all användning av en anslutning som den tillåter, och det är i denna lucka som de flesta policyer mot obehöriga tunnlar misslyckas. Att blockera portarna för den klient som var populär för fem år sedan lämnar allt som går över 443 orört, och det säger inget om en enhet som kan skriva om sina egna rutter. Bygg kontrollen kring befogenhet och destinationer och läs sedan de flöden som du faktiskt tillåter.

Varför en portlista inte är en policy

Portar är ett transportlagerbegrepp, och flera tunnelteknologier använder ingen alls. Andra delar medvetet en port med vanlig webbtrafik eftersom den porten är den som garanterat släpps igenom. En regel som bygger på en historisk port räknar därför upp en handfull implementationer i stället för beteendeklassen. Den åldras också illa: i samma stund som en leverantör ändrar standardvärden beskriver listan det förflutna.

Värre ändå, en lyckad blockering på en port kan läsas som bevis för att hela problemet är löst, vilket sedan fördröjer de kontroller som skulle ha spelat roll.

Protokollnummer och portar är olika namnrymder

GRE tilldelas IP-protokollnummer 47. Det är inte TCP-port 47 och inte UDP-port 47, och ett filter skrivet för en port rör det inte. ESP och AH ligger på protokollnummer 50 och 51 med samma egenskap. Inkapslad trafik kan också gömma sig inne i en tillåten anslutning, vilket är varför en kategori eller signatur kan hjälpa men aldrig intygar syftet på egen hand. Tillit och täckning hör till en specifik produkt och utgåva, inte till begreppet.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Det första kommandot visar vad du faktiskt skrev; det andra visar protokolltabellen som stacken känner till; det tredje visar hur många sessioner som använder webbporten just nu. Inget av dem säger vad dessa sessioner är till för. TLS-avlyssning är ett separat beslut med sina egna kostnader för tillit, integritet och klientkompatibilitet. Det är inte en förutsättning för att neka en namngiven destination, och det är inte heller en garanti för att tunnlar känns igen.

Styr den befogenhet som enheten har

En enhet som kan ändra sin egen routingtabell och filtrering har förmågor som en vanlig applikation inte har. Tillträdes- och konfigurationshantering är det som tar bort den förmågan, och den verkar oavsett vilken port tunneln skulle använda.

Det innebär att godkända anslutningar får sin deklarerade roll i stället för obegränsat tillstånd att vidarebefordra för andra enheter, och det innebär att installations- och nätverksadministrationsrättigheter är en del av policyn i stället för en eftertanke.

Observera de flöden som återstår. Korrelera enhetsidentitet, tilldelad roll och flödesmetadata, och behandla klassificering som bevis med gränser i stället för som en dom.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

En långvarig krypterad session eller ett stort antal byte är inte bevis på missbruk: säkerhetskopior, supportverktyg och platslänkar ser likadana ut. Håll insamlingen begränsad till utredningen och bevara det du hittar under den process som äger det.

Gör undantagen uttryckliga

Varje miljö har destinationer som måste förbli nåbara för uppdateringar, autentisering och återställning. Skriv ned dem med ett syfte och en ägare, och granska dem i stället för att upptäcka dem en avbrott i taget.

När verksamheten verkligen tillåter en bred extern tjänst, bedöm den befogenhet som tjänsten ger i stället för att anta att destinationsetiketten gör varje användning acceptabel.

Ett ogranskat undantag är ett hål med ett ärendenummer. Ett undantag med ett namn, en anledning och ett granskningsdatum är ett beslut.

Acceptera med en skriftlig plan, inte med en slogan

Acceptans har två halvor: det godkända arbetet lyckas fortfarande, och de specifika förbjudna fallen misslyckas i ett auktoriserat test. Båda måste skrivas före ändringen och upprepas efter den.

Inkludera slutpunkts- och policyändringar i den granskningen, eftersom en rutt som läggs till på en bärbar dator kan upphäva ett filter som fungerade perfekt vid kanten.

Leveransen är en ägd utgångsgräns med en känd lista över kvarvarande risk. Att hävda att några stängda portar avslutade obehörig VPN-användning är inte det.