Proč pravidlo VPN nezastaví nahrání jednoho souboru
Dostupnost služby a kontrola toho, které soubory z ní odcházejí, jsou dva požadavky. Umístěte pravidlo tam, kde je soubor vidět: pošta, aplikace nebo agent na koncovém bodu.
Malý tým žádá vzdálený přístup ke svým pracovním systémům a zároveň žádá, aby určité přílohy přestaly opouštět firmu. Oba požadavky znějí jako jedna změna VPN. Jsou to dva požadavky s různými místy vynucení a pravidlo, které splní první, nedělá pro druhý nic. Začněte pojmenováním akce a dat a pak vyberte komponentu, která je skutečně vidí.
Jeden požadavek, dvě podmínky
První požadavek se týká dostupnosti: kteří uživatelé a zařízení smějí otevřít spojení ke které službě. Druhý se týká chování poté, co toto spojení existuje: které dokumenty smějí být přiloženy, vloženy nebo nahrány. Tunel působí na první a je vůči druhému záměrně slepý.
Kontrola na úrovni IP přeposílá pakety. Neanalyzuje vícedílné nahrání, neprohlíží PDF ani nerozhoduje, zda tabulka obsahuje čísla účtů. Očekávat to od ní není chyba v konfiguraci; je to chyba kategorie.
Vyslovte požadavek nahlas v tomto tvaru, než začnete shánět produkt. „Uživatelé smějí dosáhnout na souborový portál“ a „uživatelé nesmějí nahrávat seznamy zákazníků na souborový portál“ jsou různé věty a jen druhá popisuje politiku obsahu.
Vyberte komponentu, která soubor vidí
Vynucení se musí dít tam, kde je soubor čitelný. U e-mailu to obvykle bývá poštovní platforma nebo brána, která už přílohy zpracovává a může je vyhodnotit před doručením. U nahrávání z prohlížeče do schválené služby může být sama aplikace jedinou stranou, která obsah vidí. U spravovaného notebooku, který kopíruje soubory na přemístitelná média, operaci vidí agent na koncovém bodu.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Některé komerční sady pro vzdálený přístup spojují agenta na koncovém bodu, webovou kontrolu a modul pro prevenci úniku dat. Tyto komponenty mohou politiku obsahu vynucovat, ale schopnost patří modulu, ne tunelování. Přečtěte si, co sada skutečně obsahuje, než výsledek slíbíte.
Užitečným modelem pro srovnání je přehled prevence úniku dat v Purview od Microsoftu: popisuje zásady pomocí typů citlivých informací, umístění a aktivit. Tato slovní zásoba se týká obsahu a akcí, nikoli IP prefixů.
TLS tunelem projde, takže s tím počítejte
Šifrování aplikace se sjednává mezi klientem a službou a tunel VPN tyto bajty přenáší, aniž by je otevíral. Brána na cestě proto automaticky nezíská schopnost klasifikovat přílohu, ať už trasy vlastní jakkoli velkou část.
Chcete-li prohlížet obsah při přenosu, potřebujete komponentu, která ukončí TLS s důvěryhodným certifikátem, což je podstatné architektonické rozhodnutí s vlastními důsledky pro soukromí a provoz. Není to zaškrtávací políčko v profilu VPN. Klienti musí certifikátu pro kontrolu důvěřovat, aplikace, které certifikáty připínají, se rozbijí a operátor získá možnost číst provoz, který dřív číst nemohl. To jsou důvody, proč toto rozhodnutí patří vlastníkovi bezpečnosti, a ne tomu, kdo provozuje tunel.
Proto je poctivá odpověď na otázku „může VPN zablokovat toto nahrání“ obvykle ne, následované konkrétní alternativou. Alternativou mohou být omezení na úrovni aplikace, poštovní pravidlo nebo politika koncového bodu a každá z nich má vlastníka, který ji může změnit.
Napište akceptační test dřív než pravidlo
Pravidlo obsahu potřebuje dva příklady, ne jeden: povolenou akci, která musí dál fungovat, a zakázanou akci, která musí být zastavena. Otestujte obojí z aplikací a zařízení v rozsahu, protože politika, která funguje jen v jednom prohlížeči, není politika, kterou někdo chtěl.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadPrvní požadavek by měla odmítnout komponenta, která pravidlo vlastní, a druhý by měl uspět. Pokud uspějí oba, kontrola není na cestě. Pokud selžou oba, rozbili jste službu, místo abyste ji chránili, což je častější výsledek pravidla napsaného bez povoleného příkladu.
Předem rozhodněte, co uživatel uvidí, kdo může udělit výjimku a kde administrátor rozhodnutí potvrdí. Blokované nahrání bez zprávy plodí tiket podpory a pravidlo, které nikdo nemůže auditovat, plodí hádku. Oběma se dá vyhnout jednou větou dokumentace napsanou před spuštěním politiky.
Nakonec držte oba požadavky v oddělených ticích s oddělenými vlastníky. Spojení pod „VPN“ zaručí, že síťový tým bude požádán, aby vyřešil problém obsahu, a že problém obsahu bude prohlášen za vyřešený, jakmile tunel naběhne.