Bộ định tuyến VPN trái phép: kiểm soát đầu vào trước khi giải mã

Một bộ định tuyến lạ xuất hiện trên cổng chuyển mạch nội bộ và ngay lập tức mở VPN đi ra đã vượt qua kiểm soát quan trọng nhất. Việc tiếp nhận quyết định thiết bị có được truy cập mạng dùng được hay không, còn giải mã chỉ cho biết nó đã làm gì sau đó. Giữ đúng thứ tự ấy biến một vấn đề kiểm tra bất khả thi thành câu hỏi thường ngày về chính sách cổng. Đây cũng là khác biệt giữa một hành động có thể đảo ngược và một sự cố gián đoạn dịch vụ.

Việc tiếp nhận được quyết định tại cổng

Hỏi thiết bị đã có kết nối dùng được bằng cách nào trước khi hỏi đường hầm của nó chở gì. Một bộ định tuyến cắm vào cổng tường đang hoạt động, hoặc một máy khách không dây đã tham gia SSID mở, được tiếp nhận bởi chính sách mà cổng hoặc SSID đó áp dụng. Nếu chính sách đó là "mọi thứ cắm vào đều có VLAN hoạt động", thì VPN là triệu chứng chứ không phải lỗ hổng.

Một hợp đồng thuê DHCP không phải bản ghi cấp quyền. Việc nhận được địa chỉ, hoặc không nhận được, mô tả dịch vụ cấp phát địa chỉ, không phải trạng thái của cổng, và nhiều thiết kế cho phép một thiết bị chưa xác thực chạm tới một dịch vụ hỗ trợ trong khi từ chối mọi thứ khác. Hãy coi bảng thuê là bằng chứng về việc đánh địa chỉ, không phải về lòng tin.

Ba loại bằng chứng bị trộn lẫn trong những cuộc điều tra này: một người đã được phê duyệt, một thiết bị được quản lý đã được phê duyệt và một dòng trên tờ kiểm kê. Chính sách cổng nên nói rõ nó chấp nhận loại nào, vì thông tin đăng nhập bị đánh cắp và địa chỉ MAC bị sao chép đáp ứng những điều kiện khác nhau.

Một cổng đã xác thực thực sự quyết định điều gì

Với IEEE 802.1X, chuyển mạch hoặc điểm truy cập là bên xác thực, và nó chuyển thông tin đăng nhập của bên yêu cầu tới một dịch vụ trung tâm với tư cách máy khách RADIUS. Các thuộc tính RADIUS 802.1X cho phép kết quả đó cấp quyền cho cổng và, tùy thiết kế, đặt phiên vào một VLAN cụ thể hoặc một ngữ cảnh kế toán cụ thể. Chuyển mạch chỉ thực thi điều máy chủ chính sách trả về nếu cổng được cấu hình để thực thi.

Chính ở điều khoản cuối này mà các triển khai thất bại một cách âm thầm. Một cổng bị để ở chế độ giám sát hoặc ghi nhật ký vẫn ghi lại quyết định lẽ ra phải có và vẫn cho lưu lượng đi qua, điều mà trong mọi báo cáo trông như một triển khai đang hoạt động cho tới khi ai đó cắm một bộ định tuyến không được quản lý.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Những thiết bị không thể chạy bên yêu cầu cần một quyết định riêng, không phải một ngoại lệ chung. Bỏ qua xác thực MAC, một cổng đăng ký hoặc một VLAN dành riêng cho thiết bị đều là câu trả lời hợp lệ, nhưng mỗi cách phải được chọn có chủ đích và ghi lại thành văn bản. Ghi rõ những lớp thiết bị nào được dùng đường dự phòng và ai phê duyệt chúng. Một đường dự phòng không được ghi lại chính là cách một bộ định tuyến không được quản lý có được VLAN hoạt động mà không cần ai phê duyệt.

Những gì có thể thấy mà không cần giải mã

Mã hóa che giấu tải trọng, không che giấu hành vi. Địa chỉ nguồn và đích, cổng, thời điểm gói tin, khối lượng luồng và thời lượng phiên vẫn hiển thị tại ranh giới nơi bạn thu thập chúng, và siêu dữ liệu đó thường đủ để gắn một thiết bị xa lạ với một cổng và một đích đi ra. Điều bạn không thể đọc là ứng dụng bên trong đường hầm, và không có việc bắt gói nào thay đổi điều đó nếu không có khóa.

Một đường hầm liên tục không tự động là độc hại. Liên kết giữa các địa điểm, tác nhân sao lưu và công cụ quản trị từ xa chạy liên tục theo thiết kế, nên một luồng kéo dài cả đêm không tự nó chứng minh điều gì. Hãy so sánh nó với vai trò được giao cho tài sản đó và với đường cơ sở đã được phê duyệt cho phân đoạn của nó.

Giới hạn lưu lượng đi ra một cách có chủ đích. Cho phép một cổng đích không giống như phê duyệt ứng dụng dùng cổng đó, và phỏng đoán của một bộ phân loại không phải quyết định cấp quyền. Thu thập siêu dữ liệu cần cho cuộc điều tra, kèm chủ sở hữu được nêu tên và thời hạn lưu giữ, thay vì mặc định bắt toàn bộ lưu lượng của mọi người dùng.

Ngăn chặn qua ranh giới bạn kiểm soát

Trước khi cô lập bất cứ thứ gì, xác nhận thiết bị thuộc về ai và được gắn ở đâu. Sau đó dùng quy trình sự cố để hạn chế cổng hoặc thu hồi phiên, giữ lại nhật ký liên quan trong khi bằng chứng còn tươi mới. Một cổng chuyển mạch có thể bị vô hiệu hóa và bật lại; một liên kết thượng nguồn sản xuất phục vụ bốn mươi bàn làm việc không thể hoàn tác dễ dàng như vậy.

Đừng phản công điểm cuối và đừng vô hiệu hóa một cổng dùng chung chỉ vì một lần quét gợi ý có giao thức VPN. Cả hai hành động đều làm gián đoạn công việc hợp pháp mà không cải thiện quyết định tiếp nhận đã cho thiết bị vào từ đầu.

Bài kiểm tra chấp nhận rất cụ thể: một điểm cuối đã được phê duyệt vẫn nhận được quyền truy cập mà vai trò của nó yêu cầu, và một thiết bị chưa được phê duyệt không thể có được đường đi tương đương. Giám sát hỗ trợ ranh giới đó, và nó không cần phá mã hóa của ai để đáng công sức.