虚拟专用网络（VPN）安全一直至关重要，而在当前COVID-19疫情下更是刻不容缓。远程办公已迅速成为新常态，对VPN功能的需求也随之激增。遗憾的是，VPN遭受的攻击也不出所料地大幅增加。为强调问题的严重性，美国国土安全部网络安全和基础设施安全局（CISA）于3月发布了关于企业VPN安全的警报AA20-073A。
从本质上讲，VPN扩展了企业网络边界，使用户可以从任何位置访问企业应用。这样一来，用户设备只需“一跳”（或单击一次）即可连接本地基础设施。同样，企业资产面临的安全风险也近在咫尺。攻击者可能不再需要攻破复杂的多层边界安全防护（代理、WAF、入侵检测等）；仅一个漏洞或不安全的VPN实施方式，就可能导致企业资产和个人信息暴露。
本文将重点介绍评估VPN安全性时需要关注的几个关键方面。
端点安全状况
用户通常从桌面设备、笔记本电脑和移动设备等端点设备发起SSL VPN隧道连接。这些端点既是入口，也是恶意行为者试图将其用作攻击途径时的主要目标。因此，在建立VPN隧道之前，务必确保端点安全。端点安全是一种战略方法，旨在确保客户端设备在获准远程接入网络之前不会带来安全风险。例如，该策略可能包括系统地验证客户端计算机证书、客户端类型和客户端浏览器版本中的一项或两项，核查反间谍软件和防病毒软件的补丁，以及检查客户端防火墙规则。
端点安全状况评估通常在会话启动时、建立VPN隧道之前进行，也可以在用户的VPN会话期间定期进行。持续评估端点安全状况，可通过检查端点在初始VPN隧道建立后是否已遭入侵，降低后续风险。
用户身份验证与授权
身份验证是指在建立VPN隧道之前验证用户身份。通过验证远程工作人员的凭据，可确保只有合法用户才能访问内部资源和应用程序。
然而，随着凭据填充和账户接管（ATO）手段日益增多，攻击者可能持有有效的用户凭据，从而绕过单因素身份验证。因此，必须为VPN实施多因素身份验证。
多重身份验证（MFA）
MFA要求用户在建立VPN隧道前提供两个或更多可验证的身份验证因素，从而增强安全性。据行业估算，这种方法可使MFA有效阻止99.9%的账户接管（ATO）攻击。常见的身份验证因素包括：
- 用户知道的信息，例如密码、PIN或触控板手势
- 用户拥有的信息，例如硬件令牌、软件令牌或证书
- 用户自身的生物特征，即生物特征输入，例如指纹、视网膜扫描、人脸识别或语音识别
用户通过身份验证后，授权策略会评估其权限集，以授予对内部资源和应用的特定访问权限，并实施适当的限制。可使用不同的权限模型授予访问权限，例如基于角色的访问控制（RBAC）。在建立VPN隧道期间，可通过实施ACL等额外安全控制措施，对VPN用户强制执行特定权限和首选项。
数据机密性和完整性
企业数据通过VPN隧道在共享或公共网络上传输时，加密可保障数据的机密性和完整性。
为获取机密数据，恶意行为者可能会尝试窃取私钥、利用加密实现中的已知漏洞，或破解强度较低的加密参数。
配置SSL VPN时，应考虑密钥交换管理和加密密码的强度。TLS1.3之前的版本在协议定义及其实现中存在已知缺陷。其他利用方式包括滥用客户端重新协商，以及使用弱加密原语，例如RC4流密码和出口级密码。
针对VPN的DDoS攻击
当大多数或所有员工都远程办公时，VPN服务器（有时称为VPN集中器）的可用性也成为保障业务连续性的关键。与此同时，VPN服务器可能成为恶意行为者的主要攻击目标。他们会尝试通过随机、分布式的自动请求使VPN服务器不堪重负，导致合法用户无法使用VPN。
SSL VPN可通过IP地址或URL访问（在Web浏览器中访问，或在VPN客户端中配置），因此容易遭受与Web服务器相同的DDoS攻击模式，例如HTTP洪水攻击、SSL洪水攻击、SSL重新协商攻击、TCP混合攻击等。
因此，为确保通过VPN实现业务连续性，可能有必要将VPN配置为能够检测和缓解DDoS攻击，并将其纳入更广泛的安全策略。
更多资源：
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。