Несанкціонований VPN-маршрутизатор: контроль допуску до розшифрування

Невідомий маршрутизатор, який з'являється на внутрішньому порту комутатора і одразу відкриває вихідний VPN, уже пройшов найважливіший контроль. Допуск вирішує, чи отримає пристрій взагалі придатний мережевий доступ, а розшифрування лише повідомляє, що воно зробило потім. Правильний порядок перетворює неможливу задачу інспекції на звичайне питання політики портів. Це також різниця між оборотною дією і простоєм.

Допуск вирішується на порту

Запитайте, як пристрій отримав придатне з'єднання, перш ніж питати, що несе його тунель. Маршрутизатор, під'єднаний до активного настінного порту, або бездротовий клієнт, який приєднався до відкритого SSID, був допущений тією політикою, яку застосовує цей порт або SSID. Якщо ця політика звучить як «усе, що встромили, отримує робочий VLAN», то VPN — це симптом, а не уразливість.

Оренда DHCP не є записом про авторизацію. Отримання адреси або її відсутність описує службу видачі адрес, а не стан порту, і багато проєктів дозволяють неавтентифікованому пристрою досягти допоміжної служби, відмовляючи в усьому іншому. Ставтеся до таблиці оренди як до доказу про адресацію, а не про довіру.

У таких розслідуваннях змішуються три види доказів: схвалена особа, схвалений керований пристрій і запис в інвентарному аркуші. Політика порту має прямо вказувати, які з них вона приймає, бо викрадені облікові дані й клонована MAC-адреса задовольняють різні.

Що насправді вирішує автентифікований порт

У IEEE 802.1X комутатор або точка доступу є автентифікатором і передає облікові дані запитувача в центральну службу як клієнт RADIUS. Атрибути RADIUS 802.1X дозволяють цьому результату авторизувати порт і, залежно від проєкту, розмістити сеанс у певному VLAN або в певному контексті обліку. Комутатор застосовує те, що повертає сервер політик, лише якщо порт налаштований це застосовувати.

Саме на цьому останньому пункті впровадження тихо зазнають невдачі. Порт, залишений у режимі спостереження або журналювання, записує передбачуване рішення і все одно пропускає трафік, що в кожному звіті виглядає як робоче впровадження, доки хтось не під'єднає некерований маршрутизатор.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Пристрої, які не можуть запустити клієнт автентифікації, потребують окремого рішення, а не загального винятку. Обхід автентифікації MAC, портал реєстрації або виділений VLAN для пристроїв — усі це законні відповіді, але кожну треба вибрати свідомо й задокументувати. Запишіть, які класи пристроїв можуть користуватися резервним шляхом і хто їх схвалює. Недокументований резервний шлях — це саме те, як некерований маршрутизатор отримує робочий VLAN без чийогось схвалення.

Що можна побачити без розшифрування

Шифрування приховує вміст, а не поведінку. Адреси джерела й призначення, порти, таймінг пакетів, обсяг потоку й тривалість сеансу залишаються видимими на межі, де ви їх збираєте, і цих метаданих часто достатньо, щоб пов'язати незнайомий пристрій із портом і вихідним призначенням. Чого прочитати не можна — це застосунок усередині тунелю, і жоден перехоплення пакетів не змінює цього без ключів.

Постійний тунель не обов'язково зловмисний. Зв'язки між майданчиками, агенти резервного копіювання й засоби віддаленого адміністрування працюють безперервно за задумом, тож потік, що триває всю ніч, сам по собі нічого не доводить. Порівняйте його з роллю, призначеною цьому активу, і зі схваленою базовою лінією для його сегмента.

Обмежуйте вихідний трафік свідомо. Дозволити порт призначення — це не те саме, що схвалити застосунок, який ним користується, а здогад класифікатора не є рішенням про авторизацію. Збирайте метадані, потрібні для розслідування, із названим власником і терміном зберігання, замість того щоб за замовчуванням записувати весь трафік кожного користувача.

Стримуйте через ту межу, яку контролюєте

Перш ніж щось ізолювати, підтвердьте, кому належить пристрій і де він під'єднаний. Потім за процедурою інциденту обмежте порт або відкличте сеанс, зберігаючи потрібні журнали, доки докази ще свіжі. Порт комутатора можна вимкнути й увімкнути знову; виробничий магістральний канал, що обслуговує сорок робочих місць, так легко не скасувати.

Не завдавайте удару у відповідь по кінцевій точці й не вимикайте спільний порт лише тому, що сканування вказало на протокол VPN. Обидві дії переривають законну роботу, не покращуючи рішення про допуск, яке взагалі пропустило пристрій усередину.

Критерій приймання конкретний: схвалена кінцева точка, як і раніше, отримує доступ, потрібний її ролі, а несхвалений пристрій не може отримати еквівалентний шлях. Моніторинг підтримує цю межу, і йому не потрібно зламувати чиєсь шифрування, щоб виправдати зусилля.