Насколько серьезна проблема мультидоменных сетей?
Multi-homed - это термин, который я слышал, будучи подключенным к локальной сети одновременно с подключением к Интернету через что-то вроде беспроводного соединения.
Я слышал, что это настолько серьезно, что некоторые крупные компании, о которых я слышал, превращают это в мгновенно поддающееся обвинению преступление.
Это объясняется тем, что Джо Хакер скомпрометирует машину через интернет-соединение, а затем получит доступ к локальной сети.
Мои вопросы по этому вопросу,
- Это действительно огромная дыра в безопасности?
- Как (если таковые имеются) это отличается от подключения к VPN? Разве это не одно и то же?
- Чем (если таковые имеются) это отличается от одновременного подключения к локальной сети и беспроводной сети?
- Как вы защищаетесь от этого как для подключения к локальной сети и беспроводного подключения, так и для сценария VPN?
4 ответа
Massive является дискуссионным, но это проблема безопасности. Ваш портативный компьютер (в данном случае) напрямую подключен к Интернету и локальной сети без каких-либо мер корпоративного брандмауэра для защиты друг друга.
VPN - это зашифрованный сеанс, обеспечивающий доступ внешнего компьютера к внутренним ресурсам. Во многих отношениях это похоже на поверхность, где зараженный ПК все еще может вызывать проблемы для локальной сети, но в этом случае трафик проходит через корпоративные устройства (VPN-сервер, брандмауэр и т. Д.), Которые часто отслеживаются и могут быть дополнительно защищены с обнаружением вторжений и другими услугами, которые могут минимизировать риск. Напротив, в вашем примере, ПК является единственной вещью между злоумышленником и локальной сетью.
Я не уверен, что здесь разница, так как "общедоступная беспроводная сеть" для меня обычно означает "Интернет". Но то же самое верно, ПК действует как мост между сетями, и он не защищен и не предназначен для этой цели.
Удаленный доступ с незащищенных машин всегда является проблемой безопасности. Вот почему многие корпоративные машины оснащены программным обеспечением брандмауэра, таким как Symantec Endpoint Security, и требуют доступа к локальной сети с помощью утвержденных методов (VPN), которые дополнительно защищены с помощью защиты от вторжений, сканирования на вирусы и других механизмов безопасности.
Multihoming имеет подключение к двум разным сетевым подключениям одновременно. Таких как две сетевые карты. Однако проблемы безопасности распространяются не только на это, например, как вы описали для дополнительных виртуальных сетевых подключений, проходящих через одно физическое соединение.
Специалисты по сетевой безопасности серьезно относятся к такого рода конфигурациям, поскольку это увеличивает поверхность атаки сети, которую они пытаются защитить. Когда вы соединяете рабочую станцию между корпоративной интрасетью и общедоступным Интернетом (через что-то вроде модема ClearWire), она действительно обходит все корпоративные средства защиты, и ваша машина - единственное, что стоит между ними. Поэтому сотрудники службы безопасности должны обратить на это внимание.
- Это действительно огромная дыра в безопасности? Довольно большой, да, хотя это может быть смягчено при правильном управлении. Ключ в том, чтобы управлять этим. Мошеннические модемы ClearWire или сетевые ключи 3G не считаются "управляемыми" и, таким образом, подвергаются максимальному штрафу.
- Как (если таковые имеются) это отличается от подключения к VPN? Разве это не одно и то же? Если VPN управляется компанией, существуют стандарты, которые они могут установить для этой VPN, чтобы обеспечить управление трафиком. Или, если это не так, по крайней мере, можно сказать, какой пользователь был ответственен за плохой трафик, который удалось пройти. С другой стороны, если VPN является той, которую вы используете для своей домашней сети, это считается "неуправляемым" и будет рассматриваться как #1. Даже если ваша домашняя сеть защищена от огня, шесть было с воскресенья.
- Чем (если таковые имеются) это отличается от одновременного подключения к локальной сети и беспроводной сети? Что касается менеджера по безопасности, то установление VPN-подключения к какой-то неопознанной удаленной части Интернета и подключение к общедоступной беспроводной сети - это одно и то же, что и управление рисками.
- Как вы защищаетесь от этого? Это игра в кошки-мышки. Для предотвращения исходящих VPN-подключений межсетевые экраны настроены на попытку блокировать VPN-подобный трафик. Для предотвращения беспроводных подключений программное обеспечение для инвентаризации активов и контроля доступа к сети может идентифицировать рабочие станции с большим количеством сетевых подключений, чем разрешено, что инициирует любые необходимые действия. Пользователи хитроумны и найдут способы обойти большинство средств управления доступом к сети (в наши дни практически все может быть туннелировано через HTTP), поэтому эта игра постоянно развивается.
Следует иметь в виду, что с точки зрения диспетчера безопасности нет реальной разницы с точки зрения риска между VPN-подключением к домашней сети, беспроводным подключением к Starbucks внизу или голым модемом ClearWire в Интернете., Каждый из них имеет различные уровни риска, но невозможно по-настоящему автоматически различать их. Таким образом, к каждому нужно относиться так, как будто удаленное соединение направлено на открытый интернет.
По сути, он проходит вокруг безопасности, установленной компанией, либо с входящим соединением, либо с исходящим соединением, либо с обоими. Некоторые из этих мер безопасности включают ограничение доступа сотрудников к Интернету. Таким образом, подключение другого беспроводного соединения полностью работает на брандмауэре, установленном на исходящих соединениях. Это не только позволяет сотрудникам тратить время на работу компании, но также может распространять вирусы во внутренней сети через скомпрометированные веб-сайты.
В качестве альтернативы, он может предоставить хакеру прямой путь в корпоративную сеть, откуда он может проводить атаки. Подобные проблемы возникали в прошлом, когда кто-то настраивал свой собственный модем для коммутируемого доступа в компанию, не обращаясь в ИТ-отдел. Затем злоумышленники смогли получить полный доступ к внутренней сети. Это похоже на крепость в Хельм Глубокая. Наличие каменных стен толщиной 17 футов не имеет большого значения, когда кто-то выкапывает в нем яму для стока.
Я никогда не слышал, чтобы мультидом был использован в этом контексте. Под многодомным режимом обычно подразумевается, что одна машина подключается к двум или более сетям через несколько адаптерных карт.
То, что вы описываете, - это просмотр интернета при входе в сеть. Хотя существуют риски для этого, риски не имеют ничего общего с тем, выполняете ли вы их одновременно или нет.
Есть множество шагов, которые вы можете предпринять, чтобы уменьшить эти риски. Это огромная дыра в безопасности? Может быть.
Я предположил, что вы могли бы рассмотреть возможность подключения к vpn как "многодомной", если вы используете раздельное туннелирование.
Отредактировано, чтобы добавить
Например, веб-серфинг из мульти-домашнего брандмауэра не будет лучшей идеей.