IPS het 'n databasis oor VPN geblokkeer: bepaal die omvang van die uitsondering
’n VPN stel nie binnerste databasisverkeer van inspeksie vry nie. Vergelyk onderdrukking van seine, uitsluiting van bronne en deaktivering van kategorieë voordat jy kies.
Databasisverbindings binne 'n VPN word steeds deur die IPS geblokkeer, die gebeurtenislog noem die oorsaak, en die vinnigste herstelling lyk soos 'n uitsondering. Let eers op wat die tonnel werklik verander. Dit beskerm verkeer tussen sy eindpunte en gee dan gewone binnerste pakkette aan wat ook al die binnekant van die netwerk inspekteer, wat presies is waar die sein afgevuur het. Die tonnel is nie 'n vrystelling nie, en die opsporing is nie outomaties verkeerd nie.
Dekapsulering is waar inspeksie hervat
Verkeer wat 'n tonnel verlaat, kom aan as gewone IP-pakkette wat aan die databasisgasheer gerig is. Enige indringingvoorkomingstoestel op daardie pad evalueer hulle volgens sy eie beleid, en daarom kan 'n verbinding wat 'n versleutelde skakel oorgesteek het, steeds deur 'n reël vir die binne-netwerk laat val word.
End-tot-end TLS is die grens aan daardie sigbaarheid. Wanneer die kliënt die databasisbediener se sertifikaat verifieer, verwerk die inspeksietoestel die verbinding maar kan nie die toepassingsvrag lees nie, so 'n opsporing daar pas metadata eerder as navraagteks. Ignoreer daardie detail en elke geblokkeerde verbinding lyk soos bewys van diep inspeksie. Albei feite is belangrik: die toestel is nie blind nie, en dit lees ook nie alles nie.
’n Opsporing is nie by verstek 'n valspositief nie
Die sein bestaan om 'n patroon te vang, en verwagte besigheidsverkeer kan steeds 'n werklik kwesbare kodebaan benut. Pas eers die opgetekende gebeurtenis by die toepassingsbewerking: tydstempel, binnerste bron en bestemming, poorte, seinidentifiseerder en die aksie wat geneem is. Daardie ses velde sê ook of die waarskuwing aan die verbinding hoort wat gefaal het, of aan 'n buur wat toevallig besig was.
'n Paar pakkette wat die bediener bereik, wys nie die IPS as die oorsaak aan nie, en 'n ooreenstemmende sein bewys nie dat die kliënt wettig is nie. Albei lesings is raaiskote totdat die gebeurtenis met die kliënt se eie verslag gekorreleer is. Die gekorreleerde gebeurtenis is die bewys, en die databasisweergawe is deel van die oordeel.
Drie uitsonderingsomvange en wat elkeen verwyder
Die opsies verskil in hoeveel inspeksie hulle afskakel, en die verskil is groter as wat die koppelvlak van die instelling laat blyk. Seinonderdrukking verwyder een reël vir die verkeer wat dit pas. Bronuitsluiting verwyder inspeksie van alles vanaf daardie adres. Deaktivering van 'n kategorie verwyder 'n familie reëls, soms oor die hele beleid.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Verkies die eerste ry wanneer die produk dit kan uitdruk. Wanneer dit nie kan nie, eskaleer die beperking eerder as om 'n breë uitsondering as 'n presiese een voor te hou; die persoon wat dit goedkeur, moet die verskil op skrif sien.
Die omvang wat jy dink jy het gestel
Vertaling verander wat 'n uitsondering dek. Wanneer verskeie VPN-kliënte agter een vertaalde adres verskyn, stel die uitsluiting van daardie adres hulle almal vry, wat veel wyer is as die enkele bevinding wat die ondersoek begin het.
Kontroleer die doeltreffende omvang eerder as die vorm wat jy ingevul het, en teken die voorvalidentifiseerder langs die reël aan. 'n Uitsondering sonder 'n rede word permanente beleid, en die volgende keurder het geen manier om te weet of dit nog geld nie.
Toets die bewerking en die grens weer
Herhaal dieselfde onskadelike databasisbewerking en bevestig dat die verbinding voltooi, bevestig dan dat onverwante opsporings steeds afgaan op 'n toets wat hulle behoort te aktiveer. Om konnektiwiteit te herstel is een aanvaardingskriterium; om die bedoelde grens te behou is die ander.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Skryf neer wat uitgesonder is, waarom, en wanneer om dit te herbesoek ná die volgende seinoopdatering of toepassingsopgradering. 'n Onderdrukking wat volgens 'n skedule herlees word, is 'n ingenieursbesluit; een wat niemand onthou nie, is 'n stadige uitbreiding van die vertrouensgrens.