VPN bağlantı noktalarını engellemek yetkisiz tünelleri neden durdurmaz

Bir güvenlik duvarı kuralı eşleştiği trafiği reddeder. İzin verdiği bir bağlantının her kullanımını reddetmez ve yetkisiz tünellere karşı politikaların çoğu tam bu boşlukta başarısız olur. Beş yıl önce popüler olan istemcinin bağlantı noktalarını engellemek 443 üzerinden giden her şeyi dokunulmadan bırakır ve kendi rotalarını yeniden yazabilen bir cihaz hakkında hiçbir şey söylemez. Denetimi yetki ve hedefler etrafında kurun, sonra gerçekten izin verdiğiniz akışları okuyun.

Bağlantı noktası listesi neden politika değildir

Bağlantı noktaları taşıma katmanı kavramıdır ve birçok tünel teknolojisi bunları hiç kullanmaz. Diğerleri, geçişi garanti edilen bağlantı noktası o olduğu için normal web trafiğiyle bilinçli olarak bir bağlantı noktasını paylaşır. Bu nedenle tarihsel bir bağlantı noktasına dayanan kural, davranış sınıfı yerine bir avuç uygulamayı sıralar. Ayrıca kötü yaşlanır: sağlayıcı varsayılanları değiştirdiği anda liste geçmişi tanımlar.

Daha da kötüsü, tek bir bağlantı noktasının başarıyla engellenmesi tüm sorunun çözüldüğünün kanıtı olarak okunabilir ve bu, önemli olacak denetimleri geciktirir.

Protokol numaraları ve bağlantı noktaları farklı ad alanlarıdır

GRE'ye IP protokol numarası 47 atanmıştır. Bu TCP bağlantı noktası 47 değildir ve UDP bağlantı noktası 47 değildir ve bir bağlantı noktası için yazılmış filtre ona dokunmaz. ESP ve AH aynı özellikle 50 ve 51 protokol numaralarında yer alır. Kapsüllenmiş trafik izin verilen bir bağlantının içinde de gizlenebilir, bu yüzden bir kategori veya imza yardımcı olabilir ama amacı asla tek başına doğrulamaz. Güven ve kapsam belirli bir ürüne ve sürüme aittir, kavrama değil.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

İlk komut gerçekte ne yazdığınızı gösterir; ikincisi yığının bildiği protokol tablosunu gösterir; üçüncüsü şu anda kaç oturumun web bağlantı noktasını kullandığını gösterir. Hiçbiri bu oturumların ne için olduğunu söylemez. TLS engelleme, güven, gizlilik ve istemci uyumluluğu açısından kendi maliyetleri olan ayrı bir karardır. Adlandırılmış bir hedefi reddetmenin ön koşulu değildir ve tünellerin tanınmasının garantisi de değildir.

Cihazın sahip olduğu yetkiyi denetleyin

Kendi yönlendirme tablosunu ve filtrelemesini değiştirebilen bir cihaz, sıradan bir uygulamanın sahip olmadığı yeteneklere sahiptir. Kabul ve yapılandırma yönetimi bu yeteneği ortadan kaldıran şeydir ve tünelin hangi bağlantı noktasını kullanacağından bağımsız olarak işler.

Bu, onaylanmış bağlantıların diğer cihazlar adına iletmek için sınırsız izin yerine bildirilen rollerini aldığı anlamına gelir ve kurulum ile ağ yönetimi haklarının sonradan akla gelen bir şey değil politikanın parçası olduğu anlamına gelir.

Kalan akışları gözlemleyin. Cihaz kimliğini, atanan rolü ve akış üst verilerini ilişkilendirin ve sınıflandırmayı hüküm değil sınırları olan kanıt olarak ele alın.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Uzun ömürlü şifreli bir oturum veya büyük bayt sayısı kötüye kullanım kanıtı değildir: yedeklemeler, destek araçları ve siteler arası bağlantılar aynı görünür. Toplamayı soruşturmayla sınırlayın ve bulduklarınızı ona sahip olan süreç altında saklayın.

İstisnaları açık hale getirin

Her ortamda güncellemeler, kimlik doğrulama ve kurtarma için erişilebilir kalması gereken hedefler vardır. Bunları bir amaç ve sorumluyla yazın ve her kesintide tek tek keşfetmek yerine gözden geçirin.

İş gerçekten geniş bir dış hizmete izin verdiğinde, hedef etiketinin her kullanımı kabul edilebilir kıldığını varsaymak yerine o hizmetin sağladığı yetkiyi değerlendirin.

Gözden geçirilmemiş bir istisna bilet numarası olan bir deliktir. Adı, gerekçesi ve gözden geçirme tarihi olan bir istisna bir karardır.

Sloganla değil yazılı bir planla kabul edin

Kabulün iki yarısı vardır: onaylanmış iş hâlâ başarılı olur ve belirli yasaklı durumlar yetkili bir testte başarısız olur. Her ikisi de değişiklikten önce yazılmalı ve sonra tekrarlanmalıdır.

Uç nokta ve politika değişikliklerini o incelemeye dahil edin, çünkü bir dizüstü bilgisayarda eklenen bir rota kenarda kusursuz çalışan bir filtreyi geçersiz kılabilir.

Teslimat, kalan riskin bilinen bir listesiyle birlikte sahiplenilmiş bir çıkış sınırıdır. Birkaç kapalı bağlantı noktasının yetkisiz VPN kullanımını sona erdirdiğini iddia etmek bu değildir.