İş VPN şlüzunun yerləşdiyiniz yer barədə nə görə bilməsi

İş VPN-inə qoşulduqdan sonra vebsaytın gördüyü ünvan, qoşularkən iş şlüzunun gördüyü ünvan deyil. Şlüz laptopunuzun hansı şəbəkədə olmasından asılı olmayaraq gələn tuneli qəbul edir və bu mənbə hər hansı tunel trafiki yaranmazdan əvvəl onun üçün görünən olur. Sonradan korporativ çıxışı bildirən brauzer əvvəlki müşahidəni silmir, çünki bu ikisi fərqli şeylərin müşahidəsidir. Hansının hansı olduğunu anlamaq, işəgötürənin nəyi çıxara biləcəyi və nəyi bilə bilməyəcəyi ilə bağlı mübahisənin çoxunu həll edir.

İki ünvan, iki fərqli müşahidə

Mexanizm siyasət deyil, sockettir. Müştəriniz tuneli açanda paketləri lokal ünvandan şlüzun ictimai ünvanına göndərir və şlüzun nüvəsi həmin axının mənbəyini qeyd edir. Həmin mənbə provayderinizin həmin anda əlaqəyə təyin etdiyi şəbəkə son nöqtəsidir.

Ev marşrutlaşdırıcısının arxasında mənbə NAT-dan sonra marşrutlaşdırıcının ictimai ünvanıdır. Mobil şəbəkədə bu, eyni anda bir çox digər abunəçi ilə paylaşılan operator səviyyəli NAT ünvanı ola bilər; buna görə də əlaqəsiz iki nəfər eyni yerdən gəlmiş kimi görünə bilər. Korporativ qonaq şəbəkəsində bu, həmin şəbəkənin çıxışıdır. Hər halda şlüz bir ünvan, port və vaxt damğası öyrənir və ünvan insana deyil, şəbəkə operatoruna aiddir.

Şlüz əslində nə qeyd edir

Sonradan nəyin yazılması texniki cəhətdən nəyin görünməsindən ayrı bir sualdır. Şlüz əlaqəni, autentifikasiya şəxsiyyətini və təyin edilmiş tunel ünvanını qeydə ala bilər, ya da sessiya vəziyyətindən başqa demək olar ki, heç nə qeyd etməyə bilər. Saxlama, SIEM-ə ixrac və hesabla korrelyasiya yerləşdirmə qərarlarıdır və bunların heç biri mənbəyin müşahidə oluna bilməsi faktından irəli gəlmir.

Görünmə və saxlama iki ayrı ox kimi qəbul edilməlidir. Xidmət hər şeyi görüb heç nə saxlaya bilməz, ya da az görüb hamısını ötürə bilər.

Praktik nəticə odur ki, quraşdırdığınız müştəridən işəgötürəninizin qeydləri haqqında mühakimə yürüdə bilməzsiniz. Xidmətin nəyi və nə qədər müddətə toplamaq üçün konfiqurasiya edildiyini soruşun və cavabın texniki təminat deyil, siyasət sənədi olacağını gözləyin. Həmçinin VPN şlüzunu idarə olunan cihazdakı hər şeydən ayırmağa dəyər, çünki son nöqtə proqramı öz imkanlarına və öz qeydlərinə malikdir. Şəxsi VPN marşrutu dəyişir; maşında artıq işləyən proqramın nəyi müşahidə edə biləcəyini dəyişmir.

IP bazası nə deyə bilər, nə deyə bilməz

IP geolokasiya verilənlər bazası həmin ünvanı götürür və sahələr qaytarır: ölkə, region, şəhər, poçt indeksi, enlik və uzunluq, üstəgəl satıcının təqdim etdiyi halda dəqiqlik radiusu. Bu sahələr qeydiyyat məlumatları, şəbəkə topologiyası və ölçülmüş gecikmə əsasında çıxarılan təxminlərdir və hər səviyyədə fərqli dərəcədə zəifləyir. Ölkə cavabı möhkəm ola bilər, halbuki şəhər cavabı təxmin olaraq qalır.

MaxMind-in öz dəqiqlik təlimatı burada vacib olan fərqi açıq şəkildə göstərir: VPN serverini tapmaq onun istifadəçilərini tapmaq deyil və məlumatlar ev təsərrüfatını, fərdi şəxsi və ya küçə ünvanını müəyyən edə bilməz. Məhsulun açıqladığı yerlərdə dəqiqlik radiusunu və etimad sahələrini oxuyun və olmayan məlumatı standart dəyər kimi deyil, olmayan kimi qəbul edin. Xəritədəki işarə təqdimat seçimidir, ölçmə deyil. Qeydiyyat qeydləri və tərs DNS başqa bir sübut növüdür: whois 203.0.113.5 sizə hansı operatorun ayrılmaya sahib olduğunu, dig +short -x 203.0.113.5 isə operatorun ona hansı ad verdiyini bildirir və heç biri insanın harada dayandığına dair ifadə deyil.

Bir-birini əvəz etməyən qeydlər

Bu, iki tərəfə də kəsilir; buna görə də qəti qərar üçün zəif əsasdır. Təsdiqlənmiş regiona uyğun gələn təxmin mövcudluğu sübut etmir. Uyğunsuzluq da özlüyündə aldatmanı sübut etmir.

Bir axtarışa əsaslanan uzaqdan iş araşdırması verilən sualdan fərqli bir suala cavab verir. Ona lazım olan kontekstdir: razılaşmanın hansı yerlərə icazə verdiyi, şəxsin nə bildirdiyi və digər sübutların uyğun olub-olmadığı. Bu, texniki girişləri olan idarəetmə prosesidir, texniki hökm deyil.

Təşkilatın saxlaya biləcəyi digər qeydlər mənbə ünvanı ilə bir-birini əvəz edə bilməz. Saat qurşağı parametri hər kəsin dəyişə biləcəyi cihaz seçimidir; hesab hadisəsi sessiyanın baş verdiyini qeyd edir, harada olduğunu deyil; son nöqtə proqramından cihaz yerləşmə oxunuşu fərqli icazələri və fərqli xəta rejimləri olan başqa sensordur. Hər işəgötürənin hamısını topladığını güman etmək, heç birinin toplanmadığını güman etmək qədər yanlışdır. Faydalı intizam, bir şeyi sübut kimi qəbul etməzdən əvvəl qeydi, onun sahibini və xəta rejimini adlandırmaqdır.

İş razılaşması üçün bundan nə çıxır

Öz razılaşmalarınıza gəldikdə, soruşmalı olduğunuz sual təşkilatın nə topladığı və hansı iş yerlərinə icazə verdiyidir. Bunlar biznesin iki fərqli hissəsindən gələn iki cavabdır.

Mənbə IP göstəricisi bir yerdən işləmək icazəsini həll edə bilməz və marşrutu dəyişmək razılaşmanı qəbul etməyin əvəzi deyil. Siyasət aydın deyilsə, məhsuldar addım şəbəkə yolunu optimallaşdırmaq deyil, soruşmaqdır. Texniki yan keçmələr adətən məhz gizlətmə kimi görünən qeydi yaradır.

Müdafiə oluna bilən texniki ifadə dardır və onu dar saxlamağa dəyər: şlüz gələn əlaqənin şəbəkə mənşəyini müşahidə edir, geolokasiya verilənlər bazası həmin mənşə üçün yerləşmə təxmin edə bilər və şəxsin fiziki mövqeyi barədə hər hansı iddia hər ikisindən kənar sübut tələb edir. MaxMind dəqiqlik təlimatı bu təxminlərin nəyi dəstəklədiyi üçün istinaddır. Ondan sonra gələn hər şey texniki libasa bürünmüş siyasət sualıdır.