IPS zablokoval databázi přes VPN: vymezte rozsah výjimky
VPN nevyjímá vnitřní provoz databáze z kontroly. Než zvolíte, porovnejte potlačení signatury, vyloučení zdroje a vypnutí kategorie.
Připojení k databázi uvnitř VPN stále blokuje IPS, protokol událostí uvádí příčinu a nejrychlejší oprava vypadá jako výjimka. Nejprve si všimněte, co tunel skutečně mění. Chrání provoz mezi svými koncovými body a poté předává běžné vnitřní pakety tomu, kdo kontroluje vnitřek sítě, což je přesně místo, kde se signatura spustila. Tunel není výjimka a detekce není automaticky chybná.
Dekapsulace je místo, kde kontrola pokračuje
Provoz opouštějící tunel přichází jako běžné IP pakety adresované hostiteli databáze. Jakékoli zařízení pro prevenci průniku na této cestě je vyhodnocuje podle své vlastní politiky, a proto spojení, které prošlo šifrovaným spojem, může být stále zahozeno pravidlem napsaným pro vnitřní síť.
TLS od konce ke konci je limitem této viditelnosti. Když klient ověří certifikát databázového serveru, kontrolní zařízení spojení zpracuje, ale nemůže přečíst datovou část aplikace, takže detekce tam odpovídá metadatům, nikoli textu dotazu. Pominete-li tento detail, každé zablokované spojení bude vypadat jako důkaz hloubkové kontroly. Na obou faktech záleží: zařízení není slepé a také nečte vše.
Detekce není ve výchozím nastavení falešně pozitivní
Signatura existuje, aby zachytila vzor, a očekávaný obchodní provoz může stále projít skutečně zranitelnou cestou kódu. Nejprve přiřaďte zaznamenanou událost k operaci aplikace: časové razítko, vnitřní zdroj a cíl, porty, identifikátor signatury a provedenou akci. Těchto šest polí také říká, zda výstraha patří neúspěšnému spojení, nebo sousedovi, který byl náhodou zaneprázdněn.
Několik paketů, které dorazí na server, neurčuje IPS jako příčinu a odpovídající signatura nedokazuje, že klient je legitimní. Obě čtení jsou dohady, dokud se událost nespojí s vlastní zprávou klienta. Korelovaná událost je důkaz a verze databáze je součástí úsudku.
Tři rozsahy výjimky a co každý odstraňuje
Možnosti se liší v tom, kolik kontroly vypnou, a rozdíl je větší, než naznačuje rozhraní nastavení. Potlačení signatury odstraňuje jedno pravidlo pro provoz, kterému odpovídá. Vyloučení zdroje odstraňuje kontrolu všeho z této adresy. Vypnutí kategorie odstraňuje rodinu pravidel, někdy v celé politice.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Upřednostněte první řádek, kdykoli to produkt umí vyjádřit. Když to neumí, eskalujte omezení, místo abyste širokou výjimku vydávali za přesnou; ten, kdo ji schvaluje, by měl rozdíl vidět písemně.
Rozsah, o kterém si myslíte, že jste nastavili
Překlad mění, co výjimka pokrývá. Když se za jednou přeloženou adresou objeví několik klientů VPN, vyloučení této adresy je vyjme všechny, což je mnohem širší než jediný nález, který vyšetřování spustil.
Zkontrolujte efektivní rozsah, ne formulář, který jste vyplnili, a zapište identifikátor incidentu vedle pravidla. Výjimka bez důvodu se stává trvalou politikou a další recenzent nemá jak zjistit, zda stále platí.
Znovu otestujte operaci i hranici
Zopakujte stejnou neškodnou databázovou operaci a potvrďte, že se spojení dokončí, poté potvrďte, že nesouvisející detekce stále zasáhnou v testu, který je má vyvolat. Obnovení konektivity je jedno kritérium přijetí; zachování zamýšlené hranice je druhé.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Zapište, co bylo vyjmuto, proč a kdy to po příští aktualizaci signatur nebo upgradu aplikace znovu projít. Potlačení, které se pravidelně čte znovu, je inženýrské rozhodnutí; takové, na které si nikdo nevzpomene, je pomalé rozšiřování hranice důvěry.