Waarom 'n VPN-reël nie die oplaai van een lêer kan stop nie
Om 'n diens te bereik en te beheer watter lêers dit verlaat, is twee vereistes. Plaas die reël waar die lêer sigbaar is: e-pos, toepassing of eindpuntagent.
'n Klein span vra om afstandtoegang tot sy werksisteme, en in dieselfde asem vra hulle dat sekere aanhangsels moet ophou om die maatskappy te verlaat. Albei versoeke klink soos een VPN-verandering. Dit is twee vereistes met verskillende handhawingspunte, en 'n reël wat die eerste bevredig, doen niks vir die tweede nie. Begin deur die handeling en die data te benoem, en kies dan die komponent wat hulle werklik kan sien.
Een versoek, twee vereistes
Die eerste vereiste gaan oor bereikbaarheid: watter gebruikers en toestelle 'n verbinding na watter diens mag oopmaak. Die tweede gaan oor gedrag nadat daardie verbinding bestaan: watter dokumente aangeheg, geplak of opgelaai mag word. 'n Tonnel werk op die eerste en is per ontwerp blind vir die tweede.
'n Beheer op IP-vlak stuur pakkette aan. Dit ontleed nie 'n multideel-oplaai nie, inspekteer nie 'n PDF nie en besluit nie of 'n sigblad rekeningnommers bevat nie. Om te verwag dat dit dit doen, is nie 'n konfigurasiefout nie; dit is 'n kategoriefout.
Sê die vereiste hardop in daardie vorm voordat jy vir 'n produk gaan soek. “Gebruikers mag die lêerportaal bereik” en “gebruikers mag nie kliëntelyste na die lêerportaal oplaai nie” is verskillende sinne, en net die tweede een beskryf 'n inhoudsbeleid.
Kies die komponent wat die lêer kan sien
Handhawing moet gebeur waar die lêer leesbaar is. Vir e-pos is dit gewoonlik die e-posplatform of -poort, wat reeds aanhangsels hanteer en dit voor aflewering kan evalueer. Vir blaaieroplaaie na 'n goedgekeurde diens is die toepassing self dalk die enigste party wat die inhoud sien. Vir 'n bestuurde skootrekenaar wat lêers na verwyderbare media kopieer, sien 'n eindpuntagent die handeling.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Sommige kommersiële afstandtoegangspakkette bondel 'n eindpuntagent, 'n webbeheer en 'n datalekvoorkomingsmodule. Daardie komponente kan heel moontlik inhoudsbeleid handhaaf, maar die vermoë hoort by die module eerder as by tonneling. Lees wat die pakket werklik insluit voordat jy die uitkoms belowe.
Microsoft se oorsig oor Purview-datalekvoorkoming is 'n nuttige model om teen te vergelyk: dit beskryf beleide in terme van tipes sensitiewe inligting, liggings en aktiwiteite. Daardie woordeskat gaan oor inhoud en handelinge, nie oor IP-voorvoegsels nie.
TLS oorleef die tonnel, so beplan daarvoor
Toepassingsversleuteling word tussen die kliënt en die diens onderhandel, en 'n VPN-tonnel dra daardie grepe sonder om dit oop te maak. 'n Poort op die pad kry dus nie outomaties die vermoë om 'n aanhangsel te klassifiseer nie, maak nie saak hoeveel van die roete dit besit nie.
Om inhoud onderweg te inspekteer, het jy 'n komponent nodig wat TLS met 'n vertroude sertifikaat termineer, wat 'n aansienlike argitektoniese besluit met sy eie privaatheid- en bedryfsgevolge is. Dit is nie 'n merkblokkie op die VPN-profiel nie. Kliënte moet die inspeksiesertifikaat vertrou, toepassings wat sertifikate pen, sal breek, en die operateur kry die vermoë om verkeer te lees wat hy voorheen nie kon nie. Dit is die redes waarom hierdie besluit by 'n sekuriteitseienaar hoort eerder as by wie ook al die tonnel bedryf.
Daarom is die eerlike antwoord op “kan die VPN hierdie oplaai blokkeer” gewoonlik nee, gevolg deur 'n konkrete alternatief. Die alternatief kan beperkings op toepassingsvlak, 'n e-posreël of 'n eindpuntbeleid wees, en elkeen het 'n eienaar wat dit kan verander.
Skryf die aanvaardingstoets voor die reël
'n Inhoudsreël het twee voorbeelde nodig, nie een nie: 'n toegelate handeling wat moet bly werk, en 'n verbode handeling wat gestop moet word. Toets albei vanuit die toepassings en toestelle in die omvang, want 'n beleid wat net in een blaaier werk, is nie die beleid waarvoor iemand gevra het nie.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadDie eerste versoek behoort deur watter komponent ook al die reël besit, geweier te word, en die tweede behoort te slaag. As albei slaag, is die beheer nie in die pad nie. As albei misluk, het jy die diens gebreek eerder as beskerm, wat die meer algemene uitkoms is van 'n reël wat sonder 'n toegelate voorbeeld geskryf is.
Besluit vooraf wat die gebruiker sien, wie 'n uitsondering kan toestaan en waar 'n administrateur die besluit daarna bevestig. 'n Geblokkeerde oplaai sonder 'n boodskap produseer 'n ondersteuningskaartjie, en 'n reël wat niemand kan oudit nie, produseer 'n argument. Albei is vermybaar met een sin dokumentasie wat geskryf word voordat die beleid in werking tree.
Laastens, hou die twee vereistes in afsonderlike kaartjies met afsonderlike eienaars. Om hulle onder “VPN” te bondel, waarborg dat die netwerkspan gevra sal word om 'n inhoudsprobleem op te los, en dat die inhoudsprobleem as opgelos verklaar sal word wanneer die tonnel opkom.