搜索

[22299] 2021-08-29_在企业内网中使用个人VPN的潜在风险

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-08-29_在企业内网中使用个人VPN的潜在风险 在 企 业 内 网 中 使 用 个 人   V P N 的 潜 在 风 险 嘶 吼 专 业 版   L e m o n S e c   2 0 2 1 - 0 8 - 2 9 个 人   V P N   服 务 承 诺 为 用 户 流 量 启 用 安 全 、 加 密 的 隧 道 。 这 些 V P N   服 务 提 供 服 务 ， 通 过 加 密 互 联 网 连 接 并 保 护 用 户 的 应 用 程 序 使 用 和 浏 览 历 史 隐 私 ， 从 而 防 止 其 他 人 通 过 这 些 隧 道 看 到 内 容 。 V P N   可 绕 过 互 联 网 审 查 ， 然 而 ， 凡 事 有 利 必 有 弊 ， 在 实 践 中 ， 攻 击 者 利 用 V P N 或   T o r 浏 览 器 这 些 加 密 措 施 掩 盖 了 攻 击 。 出 于 多 种 原 因 ， 网 络 可 见 性 很 重 要 ， 包 括 通 过 策 略 实 施 提 高 安 全 性 、 减 少 影 子   I T   以 及 快 速 检 测 恶 意 或 可 疑 活 动 ， 它 可 以 增 强 企 业 的 应 用 程 序 分 析 并 帮 助 做 出 明 智 的 决 策 。 企 业 经 常 使 用 诸 如   P a l o   A l t o   N e t w o r k s   N e x t - G e n e r a t i o n   F i r e w a l l s   等 工 具 来 获 得 对 网 络 流 量 的 巨 大 可 见 性 。 企 业 可 能 会 尝 试 获 得 深 入 到 数 据 包 、 应 用 程 序 和 用 户 级 别 的 可 见 性 。 此 时 ， 我 们 评 估 个 人   V P N   应 用 程 序 及 其 对 企 业 内 网 络 可 见 性 的 风 险 和 威 胁 。 我 们 将 讨 论 这 些 应 用 程 序 和 服 务 如 何 绕 过 防 火 墙 以 绕 过 安 全 和 策 略 执 行 机 制 。 P a l o   A l t o   N e t w o r k s   客 户 可 以 通 过 使 用 下 一 代 防 火 墙   A p p - I D   来 保 持 完 整 的 网 络 可 见 性 ， 这 有 助 于 识 别 和 清 理 网 络 中 的 个 人   V P N 。 在 企 业 网 络 上 使 用 个 人 在 企 业 网 络 上 使 用 个 人   V P N 的 主 要 风 险 的 主 要 风 险 通 过 V P N ， 用 户 可 以 访 问 一 些 无 法 访 问 的 网 络 资 源 。 V P N   的 开 发 是 为 了 允 许 不 同 地 方 的 公 司 通 过 互 联 网 加 密 通 道 连 接 其 内 部 网 络 。 它 们 通 常 用 于 工 作 场 所 ， 为 没 有 物 理 连 接 到 公 司 网 络 的 用 户 ( 如 远 程 工 作 者 ) 提 供 对 资 产 和 设 备 的 访 问 。 但 是 ， 现 在 每 个 人 都 可 以 轻 松 使 用   V P N 。
尽 管 如 此 ， 普 通 用 户 通 常 不 会 考 虑 在 公 司 设 备 上 使 用 个 人   V P N   的 风 险 。 关 于   V P N   的 数 据 安 全 和 隐 私 ， 在 大 多 数 情 况 下 ， 用 户 必 须 简 单 地 信 任 他 们 的   V P N   提 供 商 ， 因 为 网 络 隧 道 是 由 提 供 商 运 营 的 。 此 外 ， 提 供 商 可 以 查 看 用 户 访 问 了 哪 些 网 站 ， 包 括 未 加 密 的 数 据 ， 以 及 他 们 访 问 的 频 率 。 该 数 据 可 以 被 存 储 ， 其 中 一 些 对 广 告 和 营 销 公 司 来 说 是 有 价 值 的 ， 他 们 利 用 上 网 行 为 将 广 告 传 递 给 正 确 的 目 标 受 众 。 V P N 提 供 商 可 以 从 用 户 那 里 收 取 订 阅 费 ， 并 将 用 户 的 网 络 消 费 数 据 出 售 给 广 告 业 ， 从 而 使 用 户 和 企 业 翻 倍 。 在 更 极 端 的 情 况 下 ， 他 们 甚 至 可 能 向 政 府 当 局 提 供 用 户 数 据 。 攻 击 者 不 断 扫 描 易 受 攻 击 的 网 络 以 寻 找 攻 击 机 会 。 如 果 攻 击 者 成 功 入 侵 企 业 中 的 一 台 计 算 机 ， 则 整 个 网 络 都 可 能 面 临 风 险 。 企 业 使 用 其 域 名 系 统   ( D N S ) 、 企 业 数 据 丢 失 防 护   ( D L P )   和 代 理 服 务 器 作 为 对 策 ， 它 们 在 保 护 用 户 、 数 据 和 通 信 方 面 发 挥 着 重 要 作 用 ， 忽 略 其 中 任 何 一 项 都 会 降 低 网 络 可 见 性 并 危 及 企 业 。 代 理 服 务 器 的 主 要 用 途 之 一 是 防 止 员 工 访 问 不 合 适 和 不 安 全 的 网 站 ， 并 监 控 流 量 。 此 外 ， 代 理 服 务 器 保 护 企 业 终 端 免 受 与 恶 意 命 令 和 控 制 ( C 2 ) 服 务 器 的 通 信 。 但 是 ， 通 过 V P N ， 用 户 可 以 绕 过 这 一 保 护 。 例 如 ， 如 果 员 工 的 计 算 机 在 使 用 V P N 时 受 到 感 染 ， 网 络 安 全 团 队 将 无 法 看 到 发 送 到 C 2 服 务 器 的 数 据 。 内 部 威 胁 对 企 业 安 全 构 成 的 风 险 几 乎 与 外 部 入 侵 者 一 样 严 重 。 私 人 或 个 人   V P N   允 许 员 工 绕 过 网 络 安 全 团 队 设 置 的 安 全 措 施 和 权 限 。 V P N   会 使 在 线 活 动 容 易 受 到 黑 客 的 攻 击 。 此 外 ， I T 团 队 失 去 了 对 员 工 活 动 的 完 全 可 见 性 ， 例 如 ， 当 用 户 浏 览 不 安 全 或 被 禁 止 的 网 站 时 ， 他 们 会 隐 藏 起 来 。 已 知 的 已 知 的   V P N   漏 洞 漏 洞 2 0 2 1 年 第 一 季 度 ， 针 对 F o r t i n e t 的 S S L - V P N 攻 击 增 加 了 1 9 1 6 % 、 P u l s e   C o n n e c t   S e c u r e   V P N 的 攻 击 增 加 了 1 5 2 7 % 。 这 些 漏 洞 帮 助 攻 击 者 访 问 企 业 网 络 ， 一 旦 他 们 进 入 ， 就 可 以 窃 取 信 息 并 部 署 勒 索 软 件 。 我 们 根 据   P C   M a g a z i n e   的 报 告 列 出 了   2 0 2 1   年 最 佳   V P N   产 品 ， 并 检 查 了 它 们 在 过 去 几 年 中 存 在 的 已 知 漏 洞 数 量 ， 如 下 图   所 示 。
P C   M a g a z i n e 评 选 的   2 0 2 1   年 最 佳   V P N   产 品 ， 这 些 服 务 中 的 已 知 漏 洞 数 量 以 及   C V E   和 严 重 性 信 息 V P N   应 用 程 序 如 何 绕 过 防 火 墙 ？ 应 用 程 序 如 何 绕 过 防 火 墙 ？ 考 虑 到 它 们 可 能 会 在 企 业 的 网 络 中 引 入 漏 洞 ， V P N 应 用 程 序 的 功 能 包 括 试 图 绕 过 防 火 墙 ， 这 是 令 人 担 忧 的 。 V P N 不 能 使 在 线 连 接 完 全 匿 名 ， 然 而 ， V P N 通 常 通 过 隧 道 进 入 其 他 协 议 并 使 用 加 密 技 术 。 V P N 服 务 提 供 商 可 以 使 用 I P s e c   ( I n t e r n e t   P r o t o c o l   S e c u r i t y ) 、 S S L / T L S   ( T r a n s p o r t L a y e r   S e c u r i t y ) 、 D T L S   ( d a t a   a g r a m   T r a n s p o r t   L a y e r   S e c u r i t y ) 、 M P P E   ( P o i n t - t o - P o i n t   E n c r y p t i o n ) 、 S S T P   ( s e c u r e   S o c k e t   T u n n e l i n g   P r o t o c o l ) 、 S S H / O p e n S S H   ( s e c u r e   S h e l l   V P N ) 、 O p e n V P N 和 W i r e G u a r d 等 安 全 的 V P N 协 议 。 然 而 ， 这 些 都 是 合 法 使 用 V P N 的 安 全 且 定 义 良 好 的 协 议 ， 这 对 个 人   V P N   服 务 提 供 商 而 言 是 不 利 的 。 因 为 这 些 都 是 已 知 的 协 议 ， 它 们 很 容 易 被 企 业 或 政 府 屏 蔽 ， 这 与 V P N 提 供 商 向 客 户 承 诺 的 1 0 0 % 安 全 连 接 和 可 用 性 相 矛 盾 。 V P N 提 供 商 尽 其 所 能 在 网 络 中 保 持 不 被 发 现 ， 利 用 使 用 诸 如 交 换 端 口 或 服 务 器 或 从 协 议 跳 转 等 方 法 。 例 如 ， 基 于 O p e n V P N 的 V P N 服 务 让 用 户 可 以 选 择 将 传 输 协 议 更 改 为 传 输 控 制 协 议 ( T C P ) 或 用 户 数 据 报 协 议 ( U D P ) 。 然 而 ， 在 保 持 完 全 可 用 性 以 服 务 客 户 的 同 时 保 持 不 被 发 现 的 需 求 远 不 止 于 此 。 一 些 V P N 公 司 专 门 为 绕 过 企 业 或 政 府 的 封 锁 而 设 计 他 们 的 专 有 协 议 。
接 下 来 ， 我 们 将 回 顾 一 些   V P N   产 品 使 用 的 绕 过 技 术 。 自 签 名 证 书 自 签 名 证 书 下 图 说 明 了   H o t s p o t   S h i e l d （ V P N 软 件 ）   如 何 使 用 伪 造 的 自 签 名 证 书 来 绕 过 防 火 墙 的 流 量 。 但 是 ， 它 可 以 通 过 检 查   T L S   密 码 套 件 信 息 、 端 口 号 和 观 察 与 正 版 证 书 不 同 的 模 式 等 方 法 来 识 别 。 H o t s p o t   S h i e l d   使 用 伪 造 的 自 签 名 证 书 来 绕 过 防 火 墙 通 过 通 过 H T T P   流 量 绕 过 防 火 墙 流 量 绕 过 防 火 墙 一 些   V P N   应 用 程 序 试 图 通 过 发 送 看 似 简 单 的   H T T P   流 量 的 流 量 来 绕 过 防 火 墙 。 然 而 ， 只 需 要 通 过 仔 细 检 查 ， 可 以 识 别 它 们 的 特 征 ， 例 如 身 份 验 证 标 头 或 编 码 、 H T T P   请 求 方 法 或 端 口 号 ， 以 及 请 求 标 头 中 的 其 他 不 同 信 息 ， 这 些 可 用 于 识 别 此 类 应 用 程 序 。 下 图 显 示 拥 有 超 过   2 0 0   万 用 户 的   S e t u p V P N   使 用   H T T P   代 理 授 权 标 头 向 其 服 务 器 验 证 用 户 身 份 。 解 密 标 头 提 供 了 有 关   S e t u p V P N   应 用 程 序 的 有 用 信 息 。
S e t u p V P N   使 用   H T T P   代 理 授 权 标 头 向 其 服 务 器 验 证 用 户 身 份 模 仿 通 用 协 议 模 仿 通 用 协 议 V P N   应 用 程 序 使 用 众 所 周 知 的 端 口 发 送 通 信 以 绕 过 防 火 墙 并 导 致 防 火 墙 实 施 的 错 误 识 别 以 通 过 防 火 墙 。 例 如 ， 拥 有 超 过   1 0 0 0   万 用 户 的   T h u n d e r   V P N   使 用   U D P   端 口   5 3 （ 以 用 于   D N S   着 称 ） 和   T C P   端 口   4 4 3 （ 以 用 于 基 于   T L S / S S L   的   H T T P   协 议 而 闻 名 ） 。 T h u n d e r   V P N   通 过 使 用 端 口 和 握 手 类 型 来 模 拟   S S L   流 量 从 上 图 可 以 看 出 ， W i r e s h a r k 将 T h u n d e r   V P N 发 送 的 4 4 3 端 口 的 流 量 误 识 别 为 S S L 。 T h u n d e r   V P N 通 过 使 用 相 同 的 端 口 和 握 手 类 型 来 模 拟 S S L 流 量 。 T h u n d e r   V P N   还 使 用 端 口   5 3   来 绕 过 使 用 所 有 网 络 中 通 常 允 许 的 默 认   D N S   端 口 的 流 量 。 此 外 ， D N S   保 留 标 志   Z   并 设 置 为   1 ， 在 此 应 用 程 序 发 起 的 流 量 中 的 所 有   D N S   查 询 和 响 应 中 ， 该 标 志 必 须 为 零 。 通 过 T h u n d e r   V P N 发 送 的 5 3 端 口 U D P 流 量 如 下 图 所 示 。
端 口   5 3   上 的   T h u n d e r   V P N   U D P   流 量 ， D N S   保 留 标 志   Z   设 置 为   1 总 结 总 结 如 今 大 多 数 公 司 采 用 远 程 工 作 ， 网 络 安 全 团 队 已 经 认 识 到 个 人   V P N   使 用 带 来 的 潜 在 威 胁 ， 并 相 应 地 调 整 安 全 策 略 。 参 考 及 来 源 ： h t t p s : / / u n i t 4 2 . p a l o a l t o n e t w o r k s . c o m / p e r s o n - v p n - n e t w o r k - v i s i b i l i t y / - - - 》 强 烈 推 荐 ： 强 烈 推 荐 ：         每 日 发 布 每 日 发 布   红 队 攻 防 技 术 文 章 、 蓝 队 防 守 技 术 文 章 、 红 队 攻 防 技 术 文 章 、 蓝 队 防 守 技 术 文 章 、 c t f 安 全 赛 事 技 术 文 章 、 安 全 运 维 基 线 文 章 、 以 及 不 定 期 安 全 赛 事 技 术 文 章 、 安 全 运 维 基 线 文 章 、 以 及 不 定 期 的 安 全 类 书 籍 抽 奖 ～ 的 安 全 类 书 籍 抽 奖 ～ 转 自 ： 嘶 吼 专 业 版
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理