IPS заблакаваў базу даных праз VPN: вызначце межы выключэння
VPN не вызваляе ўнутраны трафік базы даных ад праверкі. Параўнайце адключэнне подпісу, выключэнне крыніцы і адключэнне катэгорыі, перш чым рабіць выбар.
Злучэнні з базай даных унутры VPN па-ранейшаму блакуюцца IPS, журнал падзей называе прычыну, і самае хуткае выпраўленне выглядае як выключэнне. Спачатку звярніце ўвагу на тое, што насамрэч змяняе тунель. Ён абараняе трафік паміж сваімі канцамі, а затым перадае звычайныя ўнутраныя пакеты таму, хто правярае ўнутраную частку сеткі, — менавіта там і спрацаваў подпіс. Тунель не вызваленне, і выяўленне не абавязкова памылковае.
Дэкапсуляцыя — месца, дзе праверка аднаўляецца
Трафік, які выходзіць з тунеля, прыходзіць як звычайныя IP-пакеты, адрасаваныя хосту базы даных. Любая прылада прадухілення ўварванняў на гэтым шляху ацэньвае іх паводле ўласнай палітыкі, таму злучэнне, якое прайшло праз шыфраванае звяно, усё яшчэ можа быць скінута правілам, напісаным для ўнутранай сеткі.
TLS ад канца да канца — гэта мяжа такой бачнасці. Калі кліент правярае сертыфікат сервера базы даных, прылада праверкі апрацоўвае злучэнне, але не можа прачытаць карысную нагрузку праграмы, таму выяўленне там адпавядае метаданым, а не тэксту запыту. Прапусціце гэтую дэталь, і кожнае заблакаванае злучэнне будзе выглядаць як доказ глыбокай праверкі. Абодва факты важныя: прылада не сляпая, і яна таксама не чытае ўсё.
Выяўленне не з'яўляецца ілжывым спрацоўваннем па змаўчанні
Подпіс існуе, каб злавіць шаблон, і чаканы бізнес-трафік можа ўсё ж прайсці па сапраўды ўразлівым шляху кода. Спачатку супастаўце запісанае падзея з аперацыяй праграмы: пазнака часу, унутраная крыніца і прызначэнне, парты, ідэнтыфікатар подпісу і ўжытае дзеянне. Гэтыя шэсць палёў таксама паведамляюць, ці адносіцца папярэджанне да злучэння, якое збаіла, ці да суседа, які выпадкова быў заняты.
Некалькі пакетаў, што дайшлі да сервера, не паказваюць IPS як прычыну, і адпаведны подпіс не даказвае, што кліент законны. Абодва тлумачэнні — здагадкі, пакуль падзея не будзе суаднесена з уласнай справаздачай кліента. Суаднесеная падзея — гэта доказ, і версія базы даных — частка меркавання.
Тры абсягі выключэння і што кожны з іх прыбірае
Варыянты адрозніваюцца тым, колькі праверкі яны адключаюць, і розніца большая, чым падказвае інтэрфейс налады. Падаўленне подпісу прыбірае адно правіла для трафіку, якому яно адпавядае. Выключэнне крыніцы прыбірае праверку ўсяго з таго адраса. Адключэнне катэгорыі прыбірае сямейства правілаў, часам па ўсёй палітыцы.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Аддавайце перавагу першаму радку, калі прадукт можа яго выказаць. Калі не можа, эскаліруйце абмежаванне, а не прадстаўляйце шырокае выключэнне як дакладнае; той, хто яго ўхваляе, павінен бачыць розніцу ў пісьмовым выглядзе.
Абсяг, які вы нібыта задалі
Трансляцыя змяняе тое, што ахоплівае выключэнне. Калі некалькі кліентаў VPN з'яўляюцца за адным трансляваным адрасам, выключэнне гэтага адраса вызваляе іх усіх, што значна шырэй за адзіную знаходку, якая пачала расследаванне.
Правярайце фактычны абсяг, а не форму, якую вы запоўнілі, і запішыце ідэнтыфікатар інцыдэнту побач з правілам. Выключэнне без прычыны становіцца пастаяннай палітыкай, і наступны рэцэнзент не мае спосабу даведацца, ці яно яшчэ дзейнічае.
Паўторна праверце аперацыю і мяжу
Паўтарыце тую ж бясшкодную аперацыю з базай даных і пераканайцеся, што злучэнне завяршаецца, затым пераканайцеся, што незвязаныя выяўленні ўсё яшчэ спрацоўваюць у тэсце, які павінен іх выклікаць. Аднаўленне злучнасці — адзін крытэр прыёмкі; захаванне зададзенай мяжы — другі.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Запішыце, што было выключана, чаму і калі перагледзець гэта пасля наступнага абнаўлення подпісу або абнаўлення праграмы. Падаўленне, якое перачытваюць па графіку, — інжынернае рашэнне; тое, якое ніхто не памятае, — павольнае пашырэнне мяжы даверу.