Zašto VPN pravilo ne može zaustaviti slanje jedne datoteke
Dostizanje usluge i kontrola koje datoteke izlaze iz nje dva su različita zahtjeva. Stavite pravilo tamo gdje je datoteka vidljiva: pošta, aplikacija ili agent na krajnjoj točki.
Mali tim traži udaljeni pristup svojim radnim sistemima i istovremeno traži da određeni prilozi prestanu napuštati kompaniju. Oba zahtjeva zvuče kao jedna VPN promjena. To su dva zahtjeva s različitim tačkama provođenja, a pravilo koje zadovoljava prvi ne čini ništa za drugi. Počnite imenovanjem radnje i podataka, pa odaberite komponentu koja ih zaista može vidjeti.
Jedan zahtjev, dva uslova
Prvi zahtjev odnosi se na dostupnost: koji korisnici i uređaji smiju otvoriti vezu prema kojoj usluzi. Drugi se odnosi na ponašanje nakon što ta veza postoji: koji dokumenti se smiju priložiti, zalijepiti ili prenijeti. Tunel djeluje na prvi i po dizajnu je slijep za drugi.
Kontrola na razini IP-a prosljeđuje pakete. Ona ne analizira višedijelni prijenos, ne pregleda PDF i ne odlučuje sadrži li tabela brojeve računa. Očekivati to od nje nije greška u konfiguraciji; to je greška u kategoriji.
Izgovorite zahtjev naglas u tom obliku prije nego što krenete tražiti proizvod. „Korisnici smiju doseći portal datoteka“ i „korisnici ne smiju prenositi liste kupaca na portal datoteka“ različite su rečenice i samo druga opisuje politiku sadržaja.
Odaberite komponentu koja vidi datoteku
Provođenje se mora dogoditi tamo gdje je datoteka čitljiva. Za e-poštu je to obično poštanska platforma ili pristupnik, koji već obrađuje priloge i može ih ocijeniti prije dostave. Za prijenose iz preglednika u odobrenu uslugu sama aplikacija može biti jedina strana koja vidi sadržaj. Za upravljani laptop koji kopira datoteke na prenosive medije, agent na krajnjoj točki vidi tu radnju.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Neki komercijalni paketi za udaljeni pristup objedinjuju agenta na krajnjoj točki, web kontrolu i modul za sprječavanje gubitka podataka. Te komponente mogu provoditi politiku sadržaja, ali sposobnost pripada modulu, a ne tuneliranju. Pročitajte šta paket zaista uključuje prije nego što obećate ishod.
Koristan model za poređenje je Microsoftov „pregled sprječavanja gubitka podataka u Purviewu“ : on opisuje politike preko vrsta osjetljivih informacija, lokacija i aktivnosti. Taj rječnik govori o sadržaju i radnjama, ne o IP prefiksima.
TLS preživljava tunel, pa planirajte to
Šifriranje aplikacije dogovara se između klijenta i usluge, a VPN tunel prenosi te bajtove ne otvarajući ih. Pristupnik na putu zato automatski ne dobija mogućnost klasificiranja priloga, koliko god rute posjedovao.
Da biste pregledali sadržaj u prijenosu, potrebna vam je komponenta koja prekida TLS s pouzdanim certifikatom, što je ozbiljna arhitektonska odluka s vlastitim posljedicama po privatnost i rad. To nije kućica u VPN profilu. Klijenti moraju vjerovati certifikatu za pregled, aplikacije koje prikivaju certifikate će se pokvariti, a operater dobija mogućnost čitanja prometa koji prije nije mogao. Zato ova odluka pripada vlasniku sigurnosti, a ne onome ko upravlja tunelom.
Zato je iskren odgovor na „može li VPN blokirati ovaj prijenos“ obično ne, nakon čega slijedi konkretna alternativa. Alternativa može biti ograničenje na razini aplikacije, poštansko pravilo ili politika krajnje točke, a svaka ima vlasnika koji je može promijeniti.
Napišite prihvatni test prije pravila
Pravilo sadržaja treba dva primjera, a ne jedan: dopuštenu radnju koja mora nastaviti raditi i zabranjenu radnju koja se mora zaustaviti. Testirajte oboje iz aplikacija i uređaja u obuhvatu, jer politika koja radi samo u jednom pregledniku nije politika koju je iko tražio.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadPrvi zahtjev treba odbiti komponenta koja posjeduje pravilo, a drugi treba uspjeti. Ako oba uspiju, kontrola nije na putu. Ako oba propadnu, pokvarili ste uslugu umjesto da ste je zaštitili, što je češći ishod pravila napisanog bez dopuštenog primjera.
Odlučite unaprijed šta korisnik vidi, ko može dati izuzetak i gdje administrator potvrđuje odluku nakon toga. Blokiran prijenos bez poruke stvara tiket podrške, a pravilo koje niko ne može revidirati stvara svađu. Oboje se može izbjeći jednom rečenicom dokumentacije napisane prije nego politika stupi na snagu.
Na kraju, držite dva zahtjeva u odvojenim tiketima s odvojenim vlasnicima. Spajanje pod „VPN“ garantuje da će se od mrežnog tima tražiti da riješi problem sadržaja i da će problem sadržaja biti proglašen riješenim kad tunel proradi.