เราเตอร์ VPN ที่ไม่ได้รับอนุญาต: การควบคุมการรับเข้าก่อนการถอดรหัส

เราเตอร์แปลกปลอมที่ปรากฏบนพอร์ตสวิตช์ภายในและเปิด VPN ขาออกทันทีได้ผ่านการควบคุมที่สำคัญที่สุดไปแล้ว การรับเข้าตัดสินว่าอุปกรณ์จะได้การเข้าถึงเครือข่ายที่ใช้งานได้หรือไม่ ส่วนการถอดรหัสเพียงบอกว่ามันทำอะไรหลังจากนั้น การจัดลำดับให้ถูกเปลี่ยนปัญหาการตรวจสอบที่เป็นไปไม่ได้ให้เป็นคำถามปกติเรื่องนโยบายพอร์ต และยังเป็นความแตกต่างระหว่างการกระทำที่ย้อนกลับได้กับบริการล่ม

การรับเข้าตัดสินที่พอร์ต

ถามว่าอุปกรณ์ได้รับการเชื่อมต่อที่ใช้งานได้อย่างไรก่อนถามว่าโทนเนลของมันบรรทุกอะไร เราเตอร์ที่เสียบกับพอร์ตผนังที่ใช้งานหรือไคลเอนต์ไร้สายที่เข้าร่วม SSID เปิดได้รับการรับเข้าโดยนโยบายที่พอร์ตหรือ SSID นั้นใช้ หากนโยบายนั้นคือ "ทุกสิ่งที่เสียบจะได้ VLAN ที่ทำงานได้" แสดงว่า VPN เป็นอาการ ไม่ใช่ช่องโหว่

สัญญาเช่า DHCP ไม่ใช่บันทึกการอนุญาต การได้รับที่อยู่หรือไม่ได้รับบอกถึงบริการจัดสรรที่อยู่ ไม่ใช่สถานะของพอร์ต และการออกแบบจำนวนมากยอมให้อุปกรณ์ที่ไม่ได้พิสูจน์ตัวตนเข้าถึงบริการช่วยเหลือในขณะที่ปฏิเสธสิ่งอื่นทั้งหมด ให้ถือตารางสัญญาเช่าเป็นหลักฐานเรื่องการกำหนดที่อยู่ ไม่ใช่เรื่องความไว้วางใจ

หลักฐานสามประเภทปะปนกันในการสอบสวนเหล่านี้: บุคคลที่ได้รับอนุมัติ อุปกรณ์ที่มีการจัดการซึ่งได้รับอนุมัติ และรายการในใบทะเบียนสินทรัพย์ นโยบายพอร์ตควรระบุชัดเจนว่ารับประเภทใด เพราะข้อมูลรับรองที่ถูกขโมยกับที่อยู่ MAC ที่ถูกโคลนตอบสนองเงื่อนไขต่างกัน

พอร์ตที่ผ่านการพิสูจน์ตัวตนตัดสินอะไรจริง ๆ

ใน IEEE 802.1X สวิตช์หรือจุดเชื่อมต่อคือผู้พิสูจน์ตัวตน และส่งข้อมูลรับรองของผู้ร้องขอไปยังบริการส่วนกลางในฐานะไคลเอนต์ RADIUS แอตทริบิวต์ RADIUS 802.1X ทำให้ผลลัพธ์นั้นอนุญาตพอร์ตและ ตามการออกแบบ จัดเซสชันไว้ใน VLAN เฉพาะหรือบริบทการบัญชีเฉพาะ สวิตช์บังคับใช้สิ่งที่เซิร์ฟเวอร์นโยบายส่งกลับมาก็ต่อเมื่อพอร์ตได้รับการกำหนดให้บังคับใช้

การติดตั้งล้มเหลวอย่างเงียบ ๆ ที่ข้อสุดท้ายนี้เอง พอร์ตที่ถูกปล่อยไว้ในโหมดเฝ้าดูหรือบันทึกจะบันทึกการตัดสินใจที่ควรจะเป็นและยังปล่อยทราฟฟิกผ่าน ซึ่งในรายงานทุกฉบับดูเหมือนการติดตั้งที่ทำงานได้จนกว่าจะมีคนเสียบเราเตอร์ที่ไม่มีการจัดการ

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

อุปกรณ์ที่ไม่สามารถรันผู้ร้องขอได้ต้องมีการตัดสินใจแยกต่างหาก ไม่ใช่ข้อยกเว้นทั่วไป การข้ามการพิสูจน์ตัวตน MAC พอร์ทัลลงทะเบียน หรือ VLAN เฉพาะอุปกรณ์ ล้วนเป็นคำตอบที่ชอบด้วยกฎหมาย แต่แต่ละอย่างต้องเลือกอย่างตั้งใจและจัดทำเอกสาร เขียนว่าอุปกรณ์ประเภทใดใช้เส้นทางสำรองได้และใครอนุมัติ เส้นทางสำรองที่ไม่มีเอกสารคือวิธีที่เราเตอร์ที่ไม่มีการจัดการได้ VLAN ที่ทำงานได้โดยไม่มีการอนุมัติของใคร

สิ่งที่เห็นได้โดยไม่ต้องถอดรหัส

การเข้ารหัสซ่อนเพย์โหลด ไม่ใช่พฤติกรรม ที่อยู่ต้นทางและปลายทาง พอร์ต เวลาของแพ็กเก็ต ปริมาณการไหล และระยะเวลาเซสชันยังมองเห็นได้ที่ขอบเขตที่คุณเก็บรวบรวม และเมทาดาทาเหล่านั้นมักเพียงพอที่จะเชื่อมอุปกรณ์แปลกหน้าเข้ากับพอร์ตและปลายทางขาออก สิ่งที่อ่านไม่ได้คือแอปพลิเคชันในโทนเนล และการดักจับแพ็กเก็ตไม่เปลี่ยนสิ่งนั้นหากไม่มีกุญแจ

โทนเนลที่ต่อเนื่องไม่ใช่สิ่งอันตรายโดยอัตโนมัติ ลิงก์ระหว่างไซต์ เอเจนต์สำรองข้อมูล และเครื่องมือบริหารระยะไกลทำงานต่อเนื่องตามการออกแบบ การไหลที่กินเวลาทั้งคืนจึงไม่พิสูจน์อะไรด้วยตัวมันเอง เปรียบเทียบกับบทบาทที่มอบให้ทรัพย์สินนั้นและเส้นฐานที่ได้รับอนุมัติสำหรับเซกเมนต์ของมัน

จำกัดทราฟฟิกขาออกอย่างตั้งใจ การอนุญาตพอร์ตปลายทางไม่เหมือนกับการอนุมัติแอปพลิเคชันที่ใช้พอร์ตนั้น และการคาดเดาของตัวจำแนกไม่ใช่การตัดสินใจอนุญาต เก็บเมทาดาทาที่จำเป็นสำหรับการสอบสวน โดยมีเจ้าของที่ระบุชื่อและระยะเวลาการเก็บรักษา แทนที่จะดักจับทราฟฟิกทั้งหมดของทุกผู้ใช้เป็นค่าเริ่มต้น

ควบคุมผ่านขอบเขตที่คุณดูแล

ก่อนแยกสิ่งใดออก ให้ยืนยันว่าใครเป็นเจ้าของอุปกรณ์และเชื่อมต่ออยู่ที่ใด จากนั้นใช้กระบวนการเหตุการณ์เพื่อจำกัดพอร์ตหรือเพิกถอนเซสชัน โดยเก็บรักษาบันทึกที่เกี่ยวข้องไว้ในขณะที่หลักฐานยังสดใหม่ พอร์ตสวิตช์สามารถปิดและเปิดใหม่ได้ แต่ลิงก์อัปสตรีมการผลิตที่ให้บริการสี่สิบโต๊ะไม่สามารถย้อนกลับได้ง่ายเช่นนั้น

อย่าโต้กลับที่ปลายทาง และอย่าปิดพอร์ตที่ใช้ร่วมกันเพียงเพราะการสแกนชี้ว่ามีโปรโตคอล VPN การกระทำทั้งสองขัดขวางงานที่ชอบด้วยกฎหมายโดยไม่ปรับปรุงการตัดสินใจรับเข้าที่ปล่อยอุปกรณ์เข้ามาตั้งแต่แรก

การทดสอบการยอมรับเป็นรูปธรรม: ปลายทางที่ได้รับอนุมัติยังคงได้รับการเข้าถึงที่บทบาทต้องการ และอุปกรณ์ที่ไม่ได้รับอนุมัติไม่สามารถได้เส้นทางที่เท่าเทียม การตรวจสอบสนับสนุนขอบเขตนั้น และไม่จำเป็นต้องทำลายการเข้ารหัสของใครเพื่อให้คุ้มค่ากับความพยายาม