Yetkisiz VPN yönlendiricisi: şifre çözmeden önce erişim denetimi

İç bir anahtar bağlantı noktasında belirip hemen giden bir VPN açan bilinmeyen yönlendirici, en önemli denetimi zaten geçmiştir. Erişim, aygıtın kullanılabilir ağ erişimi alıp almayacağına karar verir; şifre çözme ise yalnızca sonrasında ne yaptığını söyler. Bu sırayı doğru kurmak, imkânsız bir inceleme sorununu rutin bir bağlantı noktası ilkesi sorusuna dönüştürür. Aynı zamanda geri alınabilir bir eylem ile hizmet kesintisi arasındaki farktır.

Erişim bağlantı noktasında belirlenir

Tünelin ne taşıdığını sormadan önce aygıtın kullanılabilir bağlantıyı nasıl elde ettiğini sorun. Etkin bir duvar bağlantı noktasına takılan yönlendirici veya açık bir SSID'ye katılan kablosuz istemci, o bağlantı noktasının ya da SSID'nin uyguladığı ilkeyle kabul edilmiştir. Bu ilke "takılan her şey çalışan bir VLAN alır" ise VPN bir belirtidir, güvenlik açığı değil.

DHCP kirası bir yetkilendirme kaydı değildir. Bir adres almak ya da alamamak, adres atama hizmetini tanımlar, bağlantı noktasının durumunu değil, ve birçok tasarım kimliği doğrulanmamış aygıtın bir yardımcı hizmete ulaşmasına izin verirken diğer her şeyi reddeder. Kira tablosunu adresleme hakkında kanıt olarak görün, güven hakkında değil.

Bu incelemelerde üç tür kanıt karışır: onaylanmış bir kişi, onaylanmış yönetilen bir aygıt ve envanter sayfasındaki bir kayıt. Bağlantı noktası ilkesi bunlardan hangilerini kabul ettiğini açıkça belirtmelidir, çünkü çalınmış bir kimlik bilgisi ile klonlanmış bir MAC adresi farklı koşulları karşılar.

Kimliği doğrulanmış bir bağlantı noktası gerçekte neye karar verir

IEEE 802.1X'te anahtar veya erişim noktası kimlik doğrulayıcıdır ve istemcinin kimlik bilgilerini RADIUS istemcisi olarak merkezi bir hizmete iletir. RADIUS 802.1X öznitelikleri bu sonucun bağlantı noktasını yetkilendirmesine ve tasarıma bağlı olarak oturumu belirli bir VLAN'a veya belirli bir muhasebe bağlamına yerleştirmesine izin verir. Anahtar, ilke sunucusunun döndürdüğünü yalnızca bağlantı noktası bunu uygulamak üzere yapılandırılmışsa uygular.

Dağıtımlar tam da bu son maddede sessizce başarısız olur. İzleme veya günlükleme kipinde bırakılan bir bağlantı noktası, amaçlanan kararı kaydeder ve trafiği yine de geçirir; bu her raporda çalışan bir dağıtım gibi görünür, ta ki biri yönetilmeyen bir yönlendirici takana kadar.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

İstemci çalıştıramayan aygıtlar genel bir istisna değil, ayrı bir karar gerektirir. MAC kimlik doğrulamasını atlama, bir kayıt portalı veya cihaza özel bir VLAN hepsi meşru yanıtlardır, ancak her biri bilinçli olarak seçilmeli ve belgelenmelidir. Hangi aygıt sınıflarının yedek yolu kullanabileceğini ve bunları kimin onayladığını yazın. Belgelenmemiş bir yedek yol, yönetilmeyen bir yönlendiricinin kimsenin onayı olmadan çalışan bir VLAN elde etmesinin tam yoludur.

Şifre çözmeden neler görebilirsiniz

Şifreleme yükleri gizler, davranışı değil. Kaynak ve hedef adresleri, bağlantı noktaları, paket zamanlaması, akış hacmi ve oturum süresi bunları topladığınız sınırda görünür kalır ve bu üstveriler çoğu zaman yabancı bir aygıtı bir bağlantı noktasına ve giden bir hedefe bağlamaya yeter. Okuyamadığınız şey tünelin içindeki uygulamadır ve anahtarlar olmadan hiçbir paket yakalama bunu değiştirmez.

Kalıcı bir tünel otomatik olarak kötü niyetli değildir. Siteler arası bağlantılar, yedekleme aracıları ve uzaktan yönetim araçları tasarım gereği sürekli çalışır, bu yüzden bütün gece süren bir akış kendi başına hiçbir şeyi kanıtlamaz. Bunu o varlığa atanan rolle ve segmenti için onaylanmış temel çizgiyle karşılaştırın.

Giden trafiği bilinçli olarak sınırlayın. Bir hedef bağlantı noktasına izin vermek, onu kullanan uygulamayı onaylamakla aynı değildir ve bir sınıflandırıcının tahmini yetkilendirme kararı değildir. İnceleme için gereken üstverileri adlandırılmış bir sahip ve saklama penceresiyle toplayın, her kullanıcının tüm trafiğini varsayılan olarak yakalamak yerine.

Denetlediğiniz sınır üzerinden sınırlayın

Herhangi bir şeyi yalıtmadan önce aygıtın kime ait olduğunu ve nereye bağlı olduğunu doğrulayın. Ardından olay sürecini kullanarak bağlantı noktasını kısıtlayın veya oturumu iptal edin, kanıtlar hâlâ tazeyken ilgili günlükleri koruyun. Bir anahtar bağlantı noktası devre dışı bırakılıp yeniden etkinleştirilebilir; kırk masaya hizmet veren bir üretim yukarı akış bağlantısı aynı kolaylıkla geri alınamaz.

Uç noktaya karşı saldırı düzenlemeyin ve yalnızca bir tarama VPN protokolü önerdi diye paylaşılan bir bağlantı noktasını devre dışı bırakmayın. Her iki eylem de meşru işi kesintiye uğratır, aygıtı başlangıçta içeri alan erişim kararını iyileştirmez.

Kabul testi somuttur: onaylanmış bir uç nokta rolünün gerektirdiği erişimi almaya devam eder ve onaylanmamış bir aygıt eşdeğer bir yol elde edemez. İzleme bu sınırı destekler ve kimsenin şifrelemesini kırmaya gerek kalmadan bu çabaya değer.