IPS VPN üzərindən verilənlər bazasını blokladı: istisnanın əhatəsini müəyyən edin
VPN daxili verilənlər bazası trafikini yoxlamadan azad etmir. Seçim etməzdən əvvəl imzanın söndürülməsini, mənbənin xaric edilməsini və kateqoriyanın deaktiv edilməsini müqayisə edin.
VPN daxilindəki verilənlər bazası bağlantıları hələ də IPS tərəfindən bloklanır, hadisə jurnalı səbəbi göstərir və ən sürətli düzəliş istisna kimi görünür. Bundan əvvəl tunelin əslində nəyi dəyişdiyinə diqqət yetirin. O, öz ucları arasındakı trafiki qoruyur və sonra adi daxili paketləri şəbəkənin daxilini yoxlayan qurğuya verir, imza məhz orada işə düşüb. Tunel azadlıq deyil və aşkarlama avtomatik olaraq səhv deyil.
Dekapsulyasiya yoxlamanın davam etdiyi yerdir
Tuneldən çıxan trafik verilənlər bazası hostuna ünvanlanmış adi IP paketləri kimi gəlir. Həmin yoldakı istənilən daxilolma qarşısını alma qurğusu onları öz siyasətinə əsasən qiymətləndirir, buna görə şifrələnmiş keçiddən keçmiş bağlantı da daxili şəbəkə üçün yazılmış qayda ilə yenə də atıla bilər.
Baqdan-bağa TLS həmin görünürlüyün həddidir. Müştəri verilənlər bazası serverinin sertifikatını yoxladıqda, yoxlama qurğusu bağlantını emal edir, lakin tətbiq yükünü oxuya bilmir, buna görə oradakı aşkarlama sorğu mətninə deyil, metadatalara uyğun gəlir. Bu təfərrüatı nəzərə almasanız, hər bloklanmış bağlantı dərin yoxlamanın sübutu kimi görünəcək. Hər iki fakt vacibdir: qurğu kor deyil və o da hər şeyi oxumur.
Aşkarlama standart olaraq yanlış müsbət deyil
İmza bir nümunəni tutmaq üçün mövcuddur və gözlənilən biznes trafiki həqiqətən zəif kod yolunu işlədə bilər. Qeydə alınmış hadisəni əvvəlcə tətbiq əməliyyatı ilə uyğunlaşdırın: vaxt damğası, daxili mənbə və təyinat, portlar, imza identifikatoru və görülən tədbir. Bu altı sahə həm də bildirişin uğursuz bağlantıya, yoxsa təsadüfən məşğul olan qonşuya aid olduğunu göstərir.
Serverə çatan bir neçə paket IPS-in səbəb olduğunu göstərmir və uyğun imza müştərinin qanuni olduğunu sübut etmir. Hər iki oxunuş, hadisə müştərinin öz hesabatı ilə əlaqələndirilənə qədər təxmindir. Əlaqələndirilmiş hadisə sübutdur və verilənlər bazasının versiyası hökmün bir hissəsidir.
Üç istisna əhatəsi və hər birinin nəyi aradan qaldırdığı
Seçimlər söndürdükləri yoxlamanın həcminə görə fərqlənir və fərq parametrin interfeysinin göstərdiyindən böyükdür. İmzanın söndürülməsi uyğun gəldiyi trafik üçün bir qaydanı aradan qaldırır. Mənbənin xaric edilməsi həmin ünvandan gələn hər şeyin yoxlanmasını aradan qaldırır. Kateqoriyanın deaktiv edilməsi bir qayda ailəsini, bəzən bütün siyasət boyu aradan qaldırır.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Məhsul bunu ifadə edə bildikdə birinci sətri seçin. Edə bilmədikdə, geniş istisnanı dəqiq istisna kimi təqdim etmək əvəzinə məhdudiyyəti yuxarıya bildirin; onu təsdiqləyən şəxs fərqi yazılı görməlidir.
Təyin etdiyinizi düşündüyünüz əhatə
Tərcümə istisnanın nəyi əhatə etdiyini dəyişir. Bir neçə VPN müştərisi bir tərcümə edilmiş ünvanın arxasında göründükdə, həmin ünvanı xaric etmək onların hamısını azad edir, bu isə araşdırmanı başladan tək tapıntıdan qat-qat genişdir.
Doldurduğunuz forma deyil, faktiki əhatəni yoxlayın və hadisə identifikatorunu qaydanın yanında qeyd edin. Səbəb olmadan verilən istisna daimi siyasətə çevrilir və növbəti yoxlayan onun hələ də tətbiq olunub-olunmadığını bilə bilməz.
Əməliyyatı və sərhədi yenidən yoxlayın
Eyni zərərsiz verilənlər bazası əməliyyatını təkrarlayın və bağlantının tamamlandığını təsdiqləyin, sonra əlaqəsiz aşkarlamaların onları işə salmalı olan testdə hələ də baş verdiyini təsdiqləyin. Bağlantının bərpası bir qəbul meyarıdır; nəzərdə tutulan sərhədin saxlanması isə digəridir.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Nəyin istisna edildiyini, niyə və növbəti imza yeniləməsi və ya tətbiq təkmilləşdirməsindən sonra nə vaxt yenidən baxılacağını yazın. Cədvəl üzrə yenidən oxunan söndürmə mühəndislik qərarıdır; heç kimin xatırlamadığı biri isə etimad sərhədinin yavaş genişlənməsidir.