Hiểu về các kỹ thuật vượt qua SonicWall – Góc nhìn Blue Team
Lưu ý quan trọng: Bài viết này mang tính chất giáo dục, giúp quản trị viên hiểu các vector bypass để xây dựng rule chặn hiệu quả. Không sử dụng để vi phạm chính sách tổ chức hoặc pháp luật.
1. Các vector bypass phổ biến
| Kỹ thuật | Mô tả | Phòng chống |
|---|---|---|
| Web Proxy / Proxy Chain | Dùng proxy công khai (HideMyAss, KProxy) hoặc tự host (Squid, Tinyproxy) để che IP & lọc nội dung. | Chặn category "Proxy/Anonymizer" trong CFS (Content Filtering Service), SSL Inspection, App Control chặn proxy protocol. |
| Google Translate / Microsoft Translator | Dịch trang web qua translate.google.com – traffic đi qua domain Google. | Chặn domain translate.google.com (có thể ảnh hưởng nghiệp vụ), SSL Inspection + App Control. |
| Tor Browser / Onion Routing | Mã hóa đa lớp, thoát ra exit node – che IP thật. | App Control chặn Tor, chặn danh sách Tor exit nodes (Dynamic Address Group + Threat Intelligence feed). |
| Remote Desktop / VNC / TeamViewer / AnyDesk | Điều khiển máy tính ngoài mạng (nhà, VPS) – traffic RDP/proprietary protocol. | App Control chặn remote access tools không cho phép, SSL Inspection, Geo-IP block. |
| DNS Tunneling (Iodine, dnscat2) | Đóng gói traffic trong query DNS – vượt firewall chỉ cho phép DNS. | DNS Security (SonicWall Capture ATP DNS), rate-limit DNS, chặn domain DGA. |
| ICMP/HTTP/HTTPS Tunneling (ptunnel, stunnel, ssh -D) | Tunnel qua protocol cho phép. | Deep Packet Inspection (DPI), App Control, SSL Decryption. |
| IPv6 Tunnel (Hurricane Electric, Teredo, 6to4) | Nếu firewall chỉ chặn IPv4, IPv6 tunnel bypass. | Chặn IPv6 tại edge hoặc áp dụng policy đồng bộ IPv4/IPv6. |
| MAC Spoofing / DHCP Starvation | Lấy IP của thiết bị đã auth (bypass MAC filter). | Port Security, DHCP Snooping, DAI, 802.1X. |
2. Cấu hình SonicWall để giảm thiểu bypass
- Bật SSL/TLS Decryption (DPI-SSL): Giải mã HTTPS để kiểm tra nội dung, chặn proxy/anonymizer thực sự.
- App Control & Content Filtering (CFS): Bật category Proxy/Anonymizer, P2P, Remote Access, Tunneling.
- Geo-IP Filter: Chặn traffic đến/nơi quốc gia rủi ro cao.
- Botnet Filter / Capture ATP: Kết nối threat intel cloud, chặn C2, malware callbacks.
- User Authentication (SSO, LDAP, RADIUS): Gán policy theo user/group, không chỉ IP/MAC.
- Network Segmentation: VLAN riêng cho Guest, IoT, Server, Admin – chặn lateral movement.
- Firmware cập nhật thường xuyên: Vá lỗ hổng bypass (VD: CVE-2021-20016, CVE-2022-22274).
- Logging & Alerting: Gửi log đến SIEM, rule alert: "Multiple denied proxy attempts from same user".
3. Quản trị SSO Bypass (Single Sign-On)
SonicWall SSO cho phép user xác thực một lần (qua AD/Radius) rồi truy cập nhiều tài nguyên. SSO Bypass dùng cho thiết bị không hỗ trợ auth (printer, IoT, camera). Cấu hình:
- Manage → Users → Settings → Configure SSO → Enforcement tab → SSO Bypass → Add Address Object (IP/MAC của thiết bị).
- Chỉ bypass tối thiểu, theo dõi log.
4. License & Subscription
- SonicWall hoạt động cơ bản (stateful firewall, NAT, routing) không cần license.
- Các dịch vụ nâng cao (Gateway AV, IPS, App Control, CFS, Capture ATP, SSL Decryption) cần license Active. Hết hạn → dịch vụ ngưng, firewall vẫn pass traffic theo policy cuối cùng.
- VPN client license (Global VPN Client, NetExtender) vĩnh viễn, không hết hạn.
5. Gỡ bỏ / Tắt SonicWall (nếu hợp pháp)
- Taskbar → right-click icon SonicWall (chữ S xanh) → Disable SonicWall.
- Control Panel → Programs → Uninstall SonicWall.
- Hoặc reset hardware về mặc định (giữ nút Reset 15s).