IPS va bloquejar una base de dades a través de VPN: delimiteu l’excepció
Una VPN no eximeix el trànsit intern de la base de dades de la inspecció. Compareu la supressió de signatures, l’exclusió d’origen i la desactivació de categories abans de triar.
Les connexions a la base de dades dins d’una VPN encara les bloqueja l’IPS, el registre d’esdeveniments n’assenyala la causa, i la reparació més ràpida sembla una exclusió. Abans, fixeu-vos què canvia realment el túnel. Protegeix el trànsit entre els seus extrems i després lliura paquets interns sense xifrar a allò que inspecciona l’interior de la xarxa, que és exactament on es va activar la signatura. El túnel no és una exempció, i la detecció no és automàticament errònia.
La desencapsulació és on es reprèn la inspecció
El trànsit que surt d’un túnel arriba com a paquets IP ordinaris adreçats a l’amfitrió de la base de dades. Qualsevol dispositiu de prevenció d’intrusions en aquest camí els avalua segons la seva pròpia política, i per això una connexió que ha travessat un enllaç xifrat encara pot ser descartada per una regla escrita per a la xarxa interna.
El TLS d’extrem a extrem és el límit d’aquesta visibilitat. Quan el client verifica el certificat del servidor de la base de dades, el dispositiu d’inspecció processa la connexió però no pot llegir la càrrega de l’aplicació, així que una detecció allà coincideix amb metadades en lloc del text de la consulta. Ometeu aquest detall i cada connexió bloquejada semblarà una prova d’inspecció profunda. Les dues coses importen: el dispositiu no és cec, i tampoc no ho llegeix tot.
Una detecció no és un fals positiu per defecte
La signatura existeix per atrapar un patró, i el trànsit de negoci previst encara pot recórrer un camí de codi realment vulnerable. Primer feu coincidir l’esdeveniment registrat amb l’operació de l’aplicació: marca de temps, origen i destí interns, ports, identificador de la signatura i l’acció presa. Aquests sis camps també us diuen si l’alerta pertany a la connexió que va fallar o a un veí que casualment estava ocupat.
Que uns quants paquets arribin al servidor no identifica l’IPS com la causa, i una signatura coincident no demostra que el client sigui legítim. Totes dues lectures són conjectures fins que l’esdeveniment es correlaciona amb l’informe del mateix client. L’esdeveniment correlacionat és l’evidència, i la versió de la base de dades forma part del judici.
Tres àmbits d’excepció i què elimina cadascun
Les opcions difereixen en quanta inspecció desactiven, i la diferència és més gran del que suggereix la interfície del paràmetre. La supressió de signatures elimina una regla per al trànsit que coincideix. L’exclusió d’origen elimina la inspecció de tot el que ve d’aquella adreça. Desactivar una categoria elimina una família de regles, de vegades a tota la política.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Preferiu la primera fila sempre que el producte ho pugui expressar. Quan no pugui, escaleu la limitació en lloc de presentar una exclusió àmplia com una de precisa; la persona que l’aprova hauria de veure la diferència per escrit.
L’àmbit que creieu que heu definit
La traducció canvia què cobreix una exclusió. Quan diversos clients VPN apareixen darrere d’una adreça traduïda, excloure aquesta adreça els eximeix tots, cosa que és molt més àmplia que la troballa única que va iniciar la investigació.
Comproveu l’àmbit efectiu en lloc del formulari que heu omplert, i anoteu l’identificador de l’incident al costat de la regla. Una exclusió sense motiu esdevé política permanent, i el següent revisor no té manera de saber si encara s’aplica.
Torneu a provar l’operació i la frontera
Repetiu la mateixa operació innòcua de base de dades i confirmeu que la connexió es completa, després confirmeu que les deteccions no relacionades encara es disparen en una prova que les hauria d’activar. Restaurar la connectivitat és un criteri d’acceptació; mantenir la frontera prevista és l’altre.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Anoteu què es va exceptuar, per què i quan cal revisar-ho després de la propera actualització de signatures o millora de l’aplicació. Una supressió que es rellegeix segons un calendari és una decisió d’enginyeria; una que ningú no recorda és una expansió lenta de la frontera de confiança.