IPS блокира база данни през VPN: определете обхвата на изключението
VPN не освобождава вътрешния трафик на базата данни от проверка. Сравнете потискане на подпис, изключване на източник и изключване на категория, преди да изберете.
Връзките към базата данни вътре във VPN все още се блокират от IPS, журналът на събитията посочва причината, а най-бързото решение изглежда като изключение. Преди това отбележете какво всъщност променя тунелът. Той защитава трафика между своите крайни точки и след това предава обикновени вътрешни пакети на това, което проверява вътрешността на мрежата, което е точно мястото, където е задействан подписът. Тунелът не е освобождаване и откриването не е автоматично грешно.
Декапсулацията е мястото, където проверката се възобновява
Трафикът, излизащ от тунел, пристига като обикновени IP пакети, адресирани до хоста на базата данни. Всяко устройство за предотвратяване на прониквания по този път ги оценява по собствена политика, поради което връзка, преминала през криптирана връзка, все още може да бъде отхвърлена от правило, написано за вътрешната мрежа.
TLS от край до край е границата на тази видимост. Когато клиентът проверява сертификата на сървъра на базата данни, устройството за проверка обработва връзката, но не може да прочете полезния товар на приложението, затова откриване там съответства на метаданни, а не на текста на заявката. Пропуснете тази подробност и всяка блокирана връзка ще изглежда като доказателство за дълбока проверка. И двата факта са важни: устройството не е сляпо и също не чете всичко.
Откриването не е фалшиво положително по подразбиране
Подписът съществува, за да улови модел, и очакваният бизнес трафик все още може да премине през наистина уязвим път на кода. Първо съпоставете записаното събитие с операцията на приложението: времева марка, вътрешен източник и дестинация, портове, идентификатор на подписа и предприетото действие. Тези шест полета също ви казват дали предупреждението принадлежи на неуспешната връзка, или на съсед, който случайно е бил зает.
Няколко пакета, достигнали до сървъра, не посочват IPS като причина и съвпадащият подпис не доказва, че клиентът е законен. И двете четения са догадки, докато събитието не бъде свързано със собствения отчет на клиента. Свързаното събитие е доказателството, а версията на базата данни е част от преценката.
Три обхвата на изключение и какво премахва всеки
Опциите се различават по това колко проверка изключват и разликата е по-голяма, отколкото подсказва интерфейсът на настройката. Потискането на подпис премахва едно правило за трафика, на който съответства. Изключването на източник премахва проверката на всичко от този адрес. Изключването на категория премахва семейство правила, понякога в цялата политика.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Предпочитайте първия ред, когато продуктът може да го изрази. Когато не може, ескалирайте ограничението, вместо да представяте широко изключение като точно; човекът, който го одобрява, трябва да види разликата писмено.
Обхватът, който смятате, че сте задали
Транслацията променя какво покрива изключението. Когато няколко VPN клиента се появяват зад един транслационен адрес, изключването на този адрес освобождава всички тях, което е много по-широко от единствената находка, започнала разследването.
Проверете ефективния обхват, а не формуляра, който сте попълнили, и запишете идентификатора на инцидента до правилото. Изключение без причина става постоянна политика и следващият преглеждащ няма как да разбере дали то още се прилага.
Тествайте отново операцията и границата
Повторете същата безвредна операция с базата данни и потвърдете, че връзката завършва, след което потвърдете, че несвързани откривания все още се задействат в тест, който трябва да ги предизвика. Възстановяването на свързаността е един критерий за приемане; запазването на предвидената граница е другият.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Запишете какво е било изключено, защо и кога да го преразгледате след следващата актуализация на подписа или надграждане на приложението. Потискане, което се препрочита по график, е инженерно решение; такова, което никой не помни, е бавно разширяване на границата на доверие.