IPS একটি ডেটাবেস VPN-এর মাধ্যমে ব্লক করেছে: ব্যতিক্রমের পরিধি নির্ধারণ করুন
VPN ভেতরের ডেটাবেস ট্রাফিককে পরিদর্শন থেকে অব্যাহতি দেয় না। বেছে নেওয়ার আগে সিগনেচার দমন, উৎস বাদ দেওয়া এবং শ্রেণি নিষ্ক্রিয় করার মধ্যে তুলনা করুন।
VPN-এর ভেতরের ডেটাবেস সংযোগ এখনও IPS দ্বারা ব্লক হয়, ঘটনা লগ কারণটির নাম বলে, এবং দ্রুততম সমাধান একটি ব্যতিক্রমের মতো দেখায়। তার আগে খেয়াল করুন টানেল আসলে কী বদলায়। এটি তার দুই প্রান্তের মধ্যে ট্রাফিক রক্ষা করে এবং তারপর সাধারণ ভেতরের প্যাকেট যাকে দেয় সে নেটওয়ার্কের ভেতরটা পরিদর্শন করে, ঠিক যেখানে সিগনেচারটি কাজ করেছে। টানেল কোনো অব্যাহতি নয়, এবং সনাক্তকরণ স্বয়ংক্রিয়ভাবে ভুল নয়।
ডিক্যাপসুলেশন হলো যেখানে পরিদর্শন আবার শুরু হয়
টানেল ছেড়ে যাওয়া ট্রাফিক ডেটাবেস হোস্টে ঠিকানাযুক্ত সাধারণ IP প্যাকেট হিসেবে পৌঁছায়। ওই পথের যেকোনো অনুপ্রবেশ-প্রতিরোধ ডিভাইস নিজের নীতি অনুযায়ী সেগুলো মূল্যায়ন করে, তাই এনক্রিপ্টেড লিঙ্ক পেরোনো সংযোগও ভেতরের নেটওয়ার্কের জন্য লেখা নিয়মে বাতিল হতে পারে।
এন্ড-টু-এন্ড TLS ওই দৃশ্যমানতার সীমা। যখন ক্লায়েন্ট ডেটাবেস সার্ভারের সার্টিফিকেট যাচাই করে, পরিদর্শন ডিভাইস সংযোগটি প্রক্রিয়া করে কিন্তু অ্যাপ্লিকেশন পেলোড পড়তে পারে না, তাই সেখানে সনাক্তকরণ কোয়েরি টেক্সটের বদলে মেটাডেটার সঙ্গে মেলে। এই বিবরণটি বাদ দিন আর প্রতিটি ব্লক হওয়া সংযোগ গভীর পরিদর্শনের প্রমাণ মনে হবে। দুই তথ্যই গুরুত্বপূর্ণ: ডিভাইসটি অন্ধ নয়, এবং এটি সবকিছুও পড়ছে না।
সনাক্তকরণ ডিফল্টভাবে মিথ্যা পজিটিভ নয়
সিগনেচারটি একটি প্যাটার্ন ধরার জন্য আছে, এবং প্রত্যাশিত ব্যবসায়িক ট্রাফিক এখনও সত্যিকারভাবে দুর্বল কোড পথ ব্যবহার করতে পারে। প্রথমে রেকর্ড করা ঘটনাটি অ্যাপ্লিকেশন অপারেশনের সঙ্গে মেলান: টাইমস্ট্যাম্প, ভেতরের উৎস ও গন্তব্য, পোর্ট, সিগনেচার শনাক্তকারী এবং গৃহীত পদক্ষেপ। ওই ছয়টি ক্ষেত্র আরও বলে দেয় সতর্কতাটি ব্যর্থ সংযোগের, না কি হঠাৎ ব্যস্ত প্রতিবেশীর।
সার্ভারে পৌঁছানো কয়েকটি প্যাকেট IPS-কে কারণ হিসেবে চিহ্নিত করে না, এবং মিলে যাওয়া সিগনেচার ক্লায়েন্টের বৈধতা প্রমাণ করে না। ঘটনাটি ক্লায়েন্টের নিজের প্রতিবেদনের সঙ্গে সম্পর্কযুক্ত না হওয়া পর্যন্ত দুই পাঠই অনুমান। সম্পর্কযুক্ত ঘটনাটিই প্রমাণ, এবং ডেটাবেস সংস্করণ বিচারের অংশ।
তিনটি ব্যতিক্রম পরিধি এবং প্রতিটি কী সরায়
বিকল্পগুলো কতটা পরিদর্শন বন্ধ করে তাতে ভিন্ন, এবং পার্থক্যটি সেটিংয়ের ইন্টারফেস যতটা বোঝায় তার চেয়ে বড়। সিগনেচার দমন যে ট্রাফিকের সঙ্গে মেলে তার জন্য একটি নিয়ম সরায়। উৎস বাদ দেওয়া ওই ঠিকানা থেকে আসা সবকিছুর পরিদর্শন সরায়। শ্রেণি নিষ্ক্রিয় করা নিয়মের একটি পরিবার সরায়, কখনও পুরো নীতিতে।
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
পণ্যটি প্রকাশ করতে পারলে প্রথম সারিটিকে প্রাধান্য দিন। না পারলে সংকীর্ণ সীমাবদ্ধতাটি উপরে তুলুন, প্রশস্ত ব্যতিক্রমকে নির্ভুল বলে উপস্থাপন করবেন না; যে এটি অনুমোদন করে তাকে লিখিতভাবে পার্থক্যটি দেখতে হবে।
আপনি মনে করেন যে পরিধি আপনি নির্ধারণ করেছেন
অনুবাদ বদলে দেয় একটি ব্যতিক্রম কী ঢাকে। যখন কয়েকটি VPN ক্লায়েন্ট একটি অনূদিত ঠিকানার পেছনে দেখা যায়, ওই ঠিকানা বাদ দেওয়া তাদের সবাইকে অব্যাহতি দেয়, যা তদন্ত শুরু করা একক ফলাফলের চেয়ে অনেক প্রশস্ত।
আপনি যে ফর্ম পূরণ করেছেন তা নয়, কার্যকর পরিধি যাচাই করুন, এবং নিয়মের পাশে ঘটনার শনাক্তকারী লিখুন। কারণ ছাড়া ব্যতিক্রম স্থায়ী নীতি হয়ে যায়, এবং পরবর্তী পর্যালোচক জানার কোনো উপায় থাকে না এটি এখনও প্রযোজ্য কি না।
অপারেশন এবং সীমানা আবার পরীক্ষা করুন
একই নিরীহ ডেটাবেস অপারেশনটি পুনরাবৃত্তি করুন এবং সংযোগ সম্পন্ন হয় কি না নিশ্চিত করুন, তারপর নিশ্চিত করুন যে অসম্পর্কিত সনাক্তকরণ এখনও এমন পরীক্ষায় কাজ করে যা সেগুলোকে সক্রিয় করা উচিত। সংযোগ পুনরুদ্ধার একটি গ্রহণযোগ্যতার মানদণ্ড; অভীষ্ট সীমানা রক্ষা করা অন্যটি।
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"কী ব্যতিক্রম করা হয়েছিল, কেন, এবং পরবর্তী সিগনেচার হালনাগাদ বা অ্যাপ্লিকেশন আপগ্রেডের পরে কখন পুনর্বিবেচনা করবেন তা লিখে রাখুন। সময়সূচি অনুযায়ী আবার পড়া দমন একটি প্রকৌশল সিদ্ধান্ত; যা কেউ মনে রাখে না তা বিশ্বাস সীমানার ধীর প্রসারণ।