Per què una regla de VPN no pot aturar la pujada d'un fitxer
Arribar a un servei i controlar quins fitxers en surten són dos requisits. Posa la regla on el fitxer és visible: correu, aplicació o agent d'extrem.
Un equip petit demana accés remot als seus sistemes de treball i, al mateix temps, demana que certs adjunts deixin de sortir de l'empresa. Totes dues peticions sonen com un sol canvi de VPN. Són dos requisits amb punts d'aplicació diferents, i una regla que satisfà el primer no fa res pel segon. Comença per anomenar l'acció i les dades, i després tria el component que realment les pot veure.
Una petició, dos requisits
El primer requisit tracta de l'abastabilitat: quins usuaris i dispositius poden obrir una connexió a quin servei. El segon tracta del comportament un cop existeix aquesta connexió: quins documents es poden adjuntar, enganxar o pujar. Un túnel actua sobre el primer i és cec al segon per disseny.
Un control a nivell d'IP reenvia paquets. No analitza una pujada multipart, no inspecciona un PDF ni decideix si un full de càlcul conté números de compte. Esperar que ho faci no és un error de configuració; és un error de categoria.
Digues el requisit en veu alta amb aquesta forma abans de buscar un producte. «Els usuaris poden arribar al portal de fitxers» i «els usuaris no poden pujar llistes de clients al portal de fitxers» són frases diferents, i només la segona descriu una política de contingut.
Tria el component que pot veure el fitxer
L'aplicació ha de produir-se on el fitxer és llegible. Per al correu, normalment és la plataforma o la passarel·la de correu, que ja gestiona els adjunts i els pot avaluar abans del lliurament. Per a les pujades des del navegador a un servei autoritzat, la mateixa aplicació pot ser l'única part que veu el contingut. Per a un portàtil gestionat que copia fitxers a mitjans extraïbles, un agent d'extrem veu l'operació.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Alguns paquets comercials d'accés remot inclouen un agent d'extrem, un control web i un mòdul de prevenció de pèrdua de dades. Aquests components poden aplicar polítiques de contingut, però la capacitat pertany al mòdul i no al túnel. Llegeix què inclou realment el paquet abans de prometre el resultat.
La visió general de prevenció de pèrdua de dades de Purview de Microsoft és un model útil per comparar: descriu les polítiques en termes de tipus d'informació sensible, ubicacions i activitats. Aquest vocabulari tracta de contingut i accions, no de prefixos IP.
TLS sobreviu al túnel, així que planifica-ho
El xifratge de l'aplicació es negocia entre el client i el servei, i un túnel VPN transporta aquests bytes sense obrir-los. Per tant, una passarel·la al camí no adquireix automàticament la capacitat de classificar un adjunt, per molt de la ruta que posseeixi.
Per inspeccionar contingut en trànsit cal un component que acabi TLS amb un certificat de confiança, cosa que és una decisió arquitectònica important amb conseqüències pròpies de privadesa i operatives. No és una casella del perfil de VPN. Els clients han de confiar en el certificat d'inspecció, les aplicacions que fixen certificats es trencaran, i l'operador guanya la capacitat de llegir trànsit que abans no podia. Aquestes són les raons per les quals aquesta decisió pertany a un responsable de seguretat i no a qui gestiona el túnel.
Per això la resposta honesta a «pot la VPN bloquejar aquesta pujada» és normalment no, seguida d'una alternativa concreta. L'alternativa pot ser restriccions a nivell d'aplicació, una regla de correu o una política d'extrem, i cadascuna té un responsable que la pot canviar.
Escriu la prova d'acceptació abans de la regla
Una regla de contingut necessita dos exemples, no un: una acció permesa que ha de continuar funcionant i una acció prohibida que s'ha d'aturar. Prova les dues des de les aplicacions i dispositius de l'abast, perquè una política que només funciona en un navegador no és la política que ningú va demanar.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadEl component que posseeix la regla hauria de rebutjar la primera petició, i la segona hauria de tenir èxit. Si totes dues tenen èxit, el control no és al camí. Si totes dues fallen, has trencat el servei en lloc de protegir-lo, que és el resultat més habitual d'una regla escrita sense un exemple permès.
Decideix per endavant què veu l'usuari, qui pot concedir una excepció i on un administrador confirma la decisió després. Una pujada bloquejada sense missatge genera un tiquet de suport, i una regla que ningú pot auditar genera una discussió. Totes dues coses es poden evitar amb una frase de documentació escrita abans que la política entri en vigor.
Finalment, mantén els dos requisits en tiquets separats amb responsables separats. Agrupar-los sota «VPN» garanteix que es demanarà a l'equip de xarxa que resolgui un problema de contingut i que el problema de contingut es declararà resolt quan el túnel estigui aixecat.