Ochrona przed atakami na VPN: brute-force, cert pinning, DoS

Ten artykuł pokazuje, jak chronić infrastrukturę VPN przed trzema skorelowanymi kategoriami ryzyk: atakami brute force na poświadczenia, atakami DDoS na dostępność oraz kompromitacją łańcucha zaufania (kontekst certificate pinning). Skuteczna obrona wymaga podejścia wielowarstwowego łączącego silne uwierzytelnianie (w tym MFA), detekcję anomalii, ograniczanie szybkości, filtrację reputacyjną i segmentację sieci.

Ewolucja krajobrazu zagrożeń dla bezpieczeństwa sieci VPN

W ostatnich latach infrastruktura VPN stała się jednym z głównych celów grup przestępczych poszukujących początkowego dostępu i eskalacji uprawnień. VPN-y korporacyjne służą do ochrony dostępu do zasobów firmowych, przez co ich kompromitacja ma bezpośredni wpływ na poufność i ciągłość działania.

Od połowy 2024 r. obserwuje się globalny wzrost skoordynowanych kampanii brute force wymierzonych w portale logowania VPN, interfejsy uwierzytelniania aplikacji webowych oraz SSH. Znaczna część ruchu pochodzi z węzłów wyjściowych TOR i innych usług anonimizujących, co utrudnia atrybucję i blokowanie na stałe.

Poniżej przykładowe platformy i dostawcy, których dotyczyły rozproszone kampanie brute force:

• Cisco Secure Firewall VPN,
• Check Point VPN,
• Fortinet VPN,
• SonicWall VPN,
• RD Web Services,
• MikroTik,
• DrayTek,
• Ubiquiti.

Nowe i znane podatności potęgują ryzyko. Przykładowo Ivanti Pulse Connect Secure pokazało, jak łączenie obejścia uwierzytelniania, trwałości po aktualizacjach i ukrytego dostępu przez webshelle zwiększa skuteczność ataków. CVE‑2024‑24919 w Check Point Security Gateway (path traversal) ujawniała pliki krytyczne dla bezpieczeństwa i konfiguracji, co torowało drogę do dalszej eskalacji. Szybkie łatanie i nieustanna czujność są kluczowe, bo przeciwnicy łączą luki zero‑day z długo znanymi słabościami.

Zrozumienie ataków brute force na infrastrukturę VPN

Brute force opiera się na automatycznym zgadywaniu haseł na wystawionych portalach logowania. Dzisiejsze kampanie są rozproszone i wykorzystują skompromitowaną infrastrukturę oraz łańcuchy proxy, co zwiększa wolumen i utrudnia obronę.

Napastnicy skanują sieć, wyszukują publiczne punkty logowania VPN, a następnie uruchamiają masowe próby z użyciem list popularnych haseł, wyciekłych poświadczeń oraz ich wariantów. Badania wykazały jednoczesne testowanie nazw generycznych i realnych loginów specyficznych dla danej organizacji.

Najczęściej obserwowane źródła i usługi proxy używane w kampaniach brute force obejmują:

• TOR,
• VPN Gate,
• IPIDEA Proxy,
• BigMama Proxy,
• Space Proxies,
• Nexus Proxy,
• Proxy Rack.

Skutki udanego brute force wykraczają poza przejęcie kont i wpływają na dostępność, bezpieczeństwo danych i stabilność operacji. Poniżej najczęstsze następstwa takich incydentów:

• nieautoryzowany dostęp do sieci i ruch boczny,
• kradzież danych i wdrażanie malware,
• ustanawianie mechanizmów trwałości i backdoorów,
• blokady kont, uciążliwe weryfikacje dla legalnych użytkowników,
• lokalne warunki odmowy usługi wskutek masowych nieudanych logowań.

Credential stuffing wykorzystuje powszechne zjawisko ponownego używania haseł w różnych serwisach, co przy masowej automatyzacji zapewnia atakującym satysfakcjonujące współczynniki skuteczności. Z kolei ataki z użyciem tęczowych tablic koncentrują się na łamaniu skrótów haseł z eksfiltrowanych baz bez aktywnego atakowania żywych systemów.

Ataki rozproszonego odmawiania usługi (DDoS) wymierzone w koncentratory i punkty dostępu VPN

DDoS wobec VPN ma jeden cel: obniżyć dostępność i uniemożliwić pracę zdalną, a nie koniecznie wykraść dane. VPN-y są systemami stanowymi i wymagają istotnych zasobów CPU/pamięci do utrzymania sesji, co czyni je wrażliwymi na wyczerpanie stanów i przepustowości.

W praktyce obserwuje się dwie klasy DDoS: wolumetryczne (wysycanie łącza) oraz state exhaustion (wyczerpywanie puli sesji, pamięci, CPU), gdzie każde żądanie uwierzytelnienia i szyfrowania przekłada się na realny koszt po stronie urządzenia VPN.

Szczególną uwagę zwraca CVE‑2024‑20481 w Cisco ASA/FTD, która umożliwia odmowę usługi zdalnego dostępu VPN poprzez zalew żądań uwierzytelnienia. Luka figuruje na liście CISA KEV i jest aktywnie wykorzystywana, dlatego wymaga wdrożenia dostępnych działań łagodzących i szybkiego patchowania.

Tradycyjne zapory i IDS/IPS nie radzą sobie z bardzo dużymi wolumenami i rozróżnianiem ruchu legalnego od atakującego. Najlepszą praktyką jest dedykowana ochrona anty‑DDoS (on‑prem i chmurowa), zdolna do scrubbingu i utrzymywania dostępności usług VPN.

Dla szybkiego porównania celów i obron, poniższa tabela zestawia główne wektory oraz najskuteczniejsze środki zaradcze:

Wektor ataku	Cel napastnika	Typowe objawy	Najskuteczniejsze obrony
Brute force na poświadczenia VPN	Przejęcie kont i dostęp do sieci	Masowe nieudane logowania, próby z wielu IP/proxy, wzorce automatyzacji	MFA, rate limiting/throttling, blokady kont i IP, reputacja IP, geoblokada, UEBA
DDoS na koncentratory/punkty dostępu	Niedostępność usługi, wyczerpanie stanu/CPU, saturacja łącza	Wzrost opóźnień, spadek skuteczności zestawień sesji, restarty/reset połączeń	Dedykowane systemy anty‑DDoS (on‑prem + chmura), scrubbing, filtrowanie na brzegu, rate limiting, plany ciągłości
MITM na kanałach VPN/portalach	Podsłuch/zmiana ruchu, przechwycenie poświadczeń	Ostrzeżenia TLS, nietypowe CA, niespójności certyfikatów	Certificate pinning, TLS 1.3 z PFS, automatyzacja rotacji certyfikatów, monitoring CT

Certificate pinning jako mechanizm bezpieczeństwa przeciw MITM

Certificate pinning wiąże zaufanie klienta z konkretnym kluczem/certyfikatem, ograniczając ryzyko akceptacji błędnych certyfikatów nawet przy kompromitacji CA. To skutecznie utrudnia MITM i wzmacnia łańcuch zaufania, ale zwiększa złożoność operacyjną (rotacje, plany awaryjne, dystrybucja pinów).

W praktyce organizacje najczęściej przypinają następujące elementy łańcucha PKI:

• certyfikat root,
• certyfikat pośredni,
• certyfikat końcowy (leaf).

Aby ograniczyć ryzyko błędów przy rotacjach, warto przewidzieć ścieżki odzyskiwania:

• równoczesne przypięcie wielu certyfikatów (primary/backup),
• łańcuchy zapasowe na czas przełączeń,
• mechanizmy dystrybucji i aktualizacji pinów po stronie klienta.

Kluczowe jest solidne zarządzanie kluczami i cyklem życia certyfikatów, bo wygaśnięcie lub kompromitacja klucza bez przygotowanego planu może spowodować nagłą niedostępność usługi.

Kompleksowa strategia obrony VPN i ramy wdrożeniowe

Obrona w głąb powinna łączyć mocne uwierzytelnianie, kontrolę dostępu, segmentację, detekcję anomalii i zdolność szybkiej reakcji. Żaden pojedynczy środek nie chroni przed całym spektrum zagrożeń.

Wieloczynnikowe uwierzytelnianie jako podstawa obrony

MFA to najskuteczniejszy, najstabilniejszy sposób na zatrzymanie przejęć poświadczeń, bo wymusza kompromitację więcej niż jednego czynnika. Połączenie certyfikatów klienta z Duo MFA i wyłączenie portalu webowego istotnie ogranicza skuteczność brute force.

Najczęściej stosowane metody MFA oraz ich kluczowe cechy to:

• Biometria – wysoka siła przy dobrej ergonomii;
• Jednorazowe hasła z aplikacji (TOTP) – brak ryzyk SMS, dobra dostępność;
• Powiadomienia push – wygoda użytkownika, szybkie zatwierdzanie;
• Tokeny sprzętowe (FIDO2/U2F) – bardzo silny czynnik, wymagają zarządzania.

MFA należy egzekwować na wszystkich ścieżkach dostępu (klient i portal), aby nie pozostawiać „bocznych drzwi” bez dodatkowego czynnika.

Rate limiting, throttling i mechanizmy blokady kont

Rate limiting i throttling spowalniają automatyzację i stabilizują system, a dynamiczne progi oparte o wzorce ataku zwiększają skuteczność. Dodatkowo stosuj blokady kont i adresów IP przy uporczywej aktywności.

Jako punkt wyjścia sprawdzają się m.in. domyślne ustawienia FortiGate SSL VPN:

• rozłączanie bezczynnych sesji po 300 s,
• opóźnienie zamknięcia niekompletnych logowań o 30 s,
• tymczasowa blokada konta po dwóch nieudanych próbach,
• blokada ponownego łączenia przez 60 s po przekroczeniu progów.

Blokowanie geograficzne i filtrowanie reputacji IP

Geoblokada ogranicza powierzchnię ataku, dopuszczając ruch z oczekiwanych regionów, a feed’y reputacyjne umożliwiają automatyczne odcinanie znanych źródeł nadużyć. To element obrony warstwowej, bo zaawansowani napastnicy maskują lokalizację przez własne VPN-y/proxy.

Segmentacja sieci i architektura zero trust

Segmentacja i Zero Trust ograniczają skutki kompromitacji poświadczeń, wymuszając ścisłą weryfikację tożsamości użytkownika i urządzenia oraz minimalny dostęp do aplikacji.

Przejście do Zero Trust Network Access (ZTNA) warto realizować etapami:

• ocena stanu bezpieczeństwa i inwentaryzacja aplikacji,
• definiowanie polityk dostępowych per rola/aplikacja,
• wzmocnienie IAM z MFA i weryfikacją stanu urządzeń,
• wdrożenie technologii ZTNA oraz mikrosegmentacji,
• edukacja użytkowników i komunikacja zmian,
• ciągły monitoring i adaptacja polityk.

Zdolności detekcji i reagowania

Kompleksowy monitoring z użyciem UEBA i SIEM skraca czas detekcji. UEBA wykrywa anomalie behawioralne (lokalizacje, godziny, wzorce logowań), które umykają regułom statycznym.

Zakres logowania, który powinien zasilać SIEM, obejmuje co najmniej:

• udane i nieudane próby logowania,
• dostępy do wrażliwych zasobów i nietypowe ścieżki,
• zmiany konfiguracji, zakładanie/usuwanie kont i uprawnień.

IDS/IPS uzupełniają detekcję, ale przy wysokowolumenowych DDoS ich skuteczność spada; warto rozważyć WAF dla komponentów webowych portali VPN.

Zaawansowane mechanizmy uwierzytelniania i zabezpieczenia kryptograficzne

Uwierzytelnianie certyfikatowe połączone z dodatkowymi czynnikami (OTP, tokeny sprzętowe) tworzy barierę odporną na wycieki haseł.

TLS 1.3 z silnymi zestawami szyfrów minimalizuje powierzchnię ataku i skraca handshake w porównaniu z TLS 1.2. Perfect Forward Secrecy (PFS) chroni ruch historyczny nawet w razie późniejszej kompromitacji kluczy długoterminowych; w IPsec wymuszaj DH w fazie 2 i regularne rekiejowanie.

Nowe zagrożenia i zaawansowane wektory ataku

Współczesne kampanie łączą obejścia uwierzytelniania, luki zero‑day i wyspecjalizowane malware utrzymujące trwałość. Kompromitacje Ivanti Connect Secure i Check Point Security Gateway pokazały, jak przeciwnicy budują łańcuchy ataku od eksploatacji po niejawne utrzymanie dostępu.

W kompromitacji Ivanti kluczowe etapy obejmowały:

• eksploatację łańcucha luk (w tym zero‑day),
• pozyskiwanie poświadczeń przez modyfikację komponentów logowania,
• trwałość odporną na restart/aktualizacje,
• wdrożenie webshelli i trojanizację bibliotek,
• obchodzenie MFA i czyszczenie logów.

W przypadku CVE‑2024‑24919 path traversal ułatwia eksfiltrację m.in.:

• plików z hasłami i skrótami (np. shadow),
• konfiguracji systemowych i kopii zapasowych,
• certyfikatów i materiału kluczowego.

Proces zarządzania podatnościami musi priorytetyzować infrastrukturę VPN, bo wiele krytycznych luk jest wykorzystywanych w mniej niż 24 godziny od ujawnienia. W razie oznak kompromitacji należy założyć szeroki zasięg naruszenia i przeprowadzić rotację poświadczeń, rekiejowanie certyfikatów/kluczy, audyt kont oraz analizę kryminalistyczną pod kątem ruchu bocznego.

Wnioski i rekomendacje strategiczne

Skuteczna ochrona VPN w 2025 r. opiera się na zaawansowanym, warstwowym podejściu: powszechne MFA, rate limiting, geoblokada, segmentacja i stopniowa adopcja Zero Trust/ZTNA, uzupełnione o certificate pinning oraz automatyzację cyklu życia certyfikatów (w tym monitoring CT).

Ciągły monitoring (UEBA, pełne logowanie, SIEM) skraca czas od kompromitacji do detekcji. Należy zakładać upór przeciwników łączących brute force, DDoS i luki zero‑day, co wymaga inwestycji w prewencję, detekcję i szybkie reagowanie, w tym wymuszanie aktualizacji i gotowość do natychmiastowej rotacji kluczy/poświadczeń.

W razie dowodów naruszenia wprowadź rotację poświadczeń, rekiejowanie certyfikatów, reinstalacje z czystych źródeł i pełną analizę śledczą, aby jednoznacznie ustalić zakres incydentu i zminimalizować ryzyko wtórnych kompromitacji.