Niyə ortaq VPN çıxışı sizin törətmədiyiniz giriş xəbərdarlıqlarına səbəb olur
Giriş bloku adətən tuneliniz barədə hökm deyil, risk balıdır. Ortaq çıxışlar həmin bala daha kimin daxil olduğunu və bunun onlara nəyə başa gəldiyini dəyişir.
VPN vasitəsilə tanış sayta daxil olun və əlavə yoxlama ilə qarşılaşın; ağla gələn izah tunelin aşkarlandığıdır. Nəsə aşkarlanıb, amma bu siz deyildiniz. Sayt bir sıra siqnalları qiymətləndirdi, bunlardan biri mənbə ünvanıdır və həmin ünvan bir dəqiqə əvvəl uğursuz girişlər yarada biləcək yad adamlarla paylaşılır. Qərarı bağlantınız barədə hökm kimi oxumaq balın nə üçün olduğunu yanlış anlamaqdır.
Mənbə ünvanı nəyi həll edə bilər və nəyi bilməz
IP ünvanı müəyyən bir anda şəbəkə üzrə marşrutu təsvir edir. O, nə bir şəxsi, nə bir cihazı, nə də tək bir hesabı müəyyən etmir və operator səviyyəli NAT və ya sıx VPN hovuzu ilə eyni vaxtda minlərlə əlaqəsiz sessiyanın qarşısında dura bilər. Ünvanı kimlik kimi qəbul edən sayt əslində onu reputasiya kimi qəbul edir, bu isə fakt deyil, statistik ifadədir.
İki nəfər eyni çıxışı paylaşıb zidd sübutlar yarada bilər: biri ikinci faktorla uğurla daxil olur, digəri qırx parol sınayır. Ünvan eynidir, ona görə yalnız ünvana bağlı istənilən qayda onları ayıra bilməz və hansı reaksiya yaranırsa, hər ikisinə aiddir.
Bu, ünvanlara məhəl qoymamaq üçün arqument deyil. Bu, siqnalın nəyi ölçdüyünü xatırlamaq üçün arqumentdir, çünki VPN girişləri ətrafındakı təəccüblü davranışın çoxu yanlış müşahidədən deyil, nəzarətin səhv dəqiqlik səviyyəsində tətbiqindən qaynaqlanır.
Çıxışı bloklamaq niyə yad adamları cəzalandırır
Ünvan səviyyəsində blok həyata keçirmək ucuz, hədəfləmək bahadır. Təsir radiusu həmin ünvanın arxasındakı hər sessiyadır; buna görə ortaq ünvan və NAT davranışının əməliyyat sənədlərində öz tarixi var: eyni məntiq IETF-in ortaq mənbə ünvanları və ünvana əsaslanan filtrləmənin yan təsirləri ilə bağlı işlərində görünür.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Blokun yaratdığı iki uğursuzluğa baxın. Eyni çıxışın arxasındakı qanuni müştəriyə xidmət rədd edilir və o, sui-istifadədən baha başa gələn dəstək bileti açır. Əsl hücumçu isə minlərlə ünvandan ibarət hovuzda növbəti çıxışa keçir və yalnız yenidən qoşulmaqdan başqa heç nə xərcləmədən davam edir.
Mütənasiblik çatışmayan addımdır. Təkrar uğursuz girişlər, avtomatlaşdırılmış sorğu partlaması və autentifikasiyadan sonra icazə pozuntusu üç fərqli hadisədir və yalnız ikincisi ünvana bənzər problemdir. Eyni sayt miqyaslı şəbəkə qadağasını hər üçünə tətbiq etmək təhlükəsizlik nəzarətinin dəstək növbəsinə çevrilmə üsuludur.
Qərarı sübutun olduğu yerə qoyun
Hesab səviyyəli nəzarətlər hesabı ünvanlar arasında izləyir, bu da həqiqətən vacib olan varlığa uyğundur. Sürət məhdudiyyəti, təkrar uğursuzluqlardan sonra gözləmə müddətləri və həssas əməliyyatlar üçün mərhələli autentifikasiya hamısı şəbəkə marşrutuna deyil, hesaba və ya əməliyyata təsir edir. Bu, həqiqətən qoruduğunuz varlığa daha yaxşı uyğun gəlir. Həm də hücumçunun təzə çıxış ünvanı axtarmaq həvəsini aradan qaldırır.
NIST-in autentifikasiya təlimatı bunları risk qiymətləndirməsinin girişləri kimi qəbul edir və ünvanı, coğrafi mövqeni və sorğu vaxtını siqnallar arasında sadalayır; bu, məhz götürülməli olan çərçivədir: siqnal qərarı məlumatlandırır, autentifikatoru əvəz etmir. Həmin siyahını qadağan ediləcəklər menyusu kimi deyil, girişlər kimi oxuyun. Autentifikator hələ də sübutu təqdim edir, digər siqnallar isə yalnız onun ətrafında nə qədər sürtünmə olacağını müəyyən edir.
İki dizayn məhdudiyyəti hesab səviyyəli yanaşmanın öz kəsintisinə çevrilməsinin qarşısını alır. Sürət məhdudiyyətləri təhlükəsiz baxış yolu tələb edir ki, istifadəçi etimadnamələri yayımlamadan səhv təsnifatı bildirə bilsin, mərhələli çağırışlar isə təsdiqlənməmiş dəstək əlaqəsinə verilən parol və ya birdəfəlik kodla cavablandırılmamalıdır.
Ədalətli siyasət kənardan necə görünür
Hər nəzarətin hansı qərarı dəstəklədiyini yazın, sonra nəzarətin dəqiqlik səviyyəsinin uyğun olduğunu yoxlayın. Ünvan nəzarətləri şəbəkədən gələn trafiklə bağlı suallara cavab verir; hesab nəzarətləri hesabla bağlı suallara cavab verir; tətbiq hadisələri autentifikasiyadan sonrakı davranışla bağlı suallara cavab verir. Hər üçünü adlandıran siyasət auditə yararlıdır, yalnız VPN trafiki adlandıran isə yox.
Sonra qaydaların sayını deyil, nəticəni ölçün. İcazəsiz cəhdlər azalmalı, qanuni istifadəçilər dəstəklənən yolu saxlamalı və min girişə düşən dəstək müraciətlərinin sayı artmamalıdır. Birinci rəqəmi yaxşılaşdırıb digər ikisini dağıdan blok problemi həll etməmiş, yerini dəyişmişdir.
VPN bağlantılarını qəbul etmək və sui-istifadə nəzarətlərini tətbiq etmək uyğun məqsədlərdir. İşləyən versiya mənbə ünvanını bir neçə girişdən biri kimi qəbul edir, sübuta uyğun ən dar nəzarəti tətbiq edir və səhv təsnif edilən şəxs üçün vicdanlı yol buraxır. Uğursuz versiya isə ünvanı şübhəli sayır və bunu siyasət adlandırır.