Pam mae allanfa VPN a rennir yn sbarduno rhybuddion mewngofnodi na chawsoch eu hachosi
Sgôr risg yw bloc mewngofnodi fel arfer, nid dedfryd ar eich twnnel. Mae allanfeydd a rennir yn newid pwy arall sy’n cael ei gynnwys yn y sgôr honno a beth mae’n ei gostio iddynt.
Agorwch safle cyfarwydd drwy VPN a chael her ychwanegol, a’r esboniad deniadol yw bod y twnnel wedi’i ganfod. Cafodd rhywbeth ei ganfod, ond nid chi oedd hwnnw. Sgoriodd y safle gyfres o signalau, un ohonynt yw’r cyfeiriad ffynhonnell, ac mae’r cyfeiriad hwnnw’n cael ei rannu â dieithriaid a allai fod wedi cynhyrchu mewngofnodiadau aflwyddiannus funud ynghynt. Mae darllen y penderfyniad fel dedfryd ar eich cysylltiad yn camddeall at beth y mae’r sgôr.
Beth all cyfeiriad ffynhonnell ei setlo a beth na all
Mae cyfeiriad IP yn disgrifio llwybr drwy’r rhwydwaith ar foment benodol. Nid yw’n adnabod person, dyfais nac hyd yn oed un cyfrif, a chyda NAT maint cludwr neu bwll VPN prysur gall fod o flaen miloedd o sesiynau digyswllt ar yr un pryd. Mae safle sy’n trin y cyfeiriad fel hunaniaeth mewn gwirionedd yn ei drin fel enw da, sef datganiad ystadegol yn hytrach na ffaith.
Gall dau berson rannu allanfa a chynhyrchu tystiolaeth wrthgyferbyniol: mae un yn mewngofnodi’n llwyddiannus ag ail ffactor, mae’r llall yn ceisio pedwar deg o gyfrineiriau. Mae’r cyfeiriad yn union yr un fath, felly ni all unrhyw reol sy’n seiliedig ar y cyfeiriad yn unig wahaniaethu rhyngddynt, ac mae pa bynnag ymateb y mae’n ei sbarduno yn berthnasol i’r ddau.
Nid dadl dros anwybyddu cyfeiriadau yw hyn. Dadl dros gofio beth mae’r signal yn ei fesur yw, oherwydd daw’r rhan fwyaf o’r ymddygiad syfrdanol o amgylch mewngofnodi drwy VPN o gymhwyso rheolaeth ar y manylder anghywir, yn hytrach nag o arsylwi anghywir.
Pam mae blocio’r allanfa yn cosbi dieithriaid
Mae bloc ar lefel cyfeiriad yn rhad ei weithredu ac yn ddrud ei anelu. Ei radiws effaith yw pob sesiwn y tu ôl i’r cyfeiriad hwnnw, a dyna pam mae ymddygiad cyfeiriadau a rennir a NAT yn hanes ei hun mewn dogfennaeth weithredol: mae’r un rhesymeg yn ymddangos yng ngwaith IETF ar gyfeiriadau ffynhonnell a rennir ac effeithiau ochr hidlo yn seiliedig ar gyfeiriad.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Ystyriwch y ddau fethiant y mae bloc yn eu creu. Mae cwsmer dilys y tu ôl i’r un allanfa yn cael gwasanaeth wedi’i wrthod ac yn ffeilio tocyn cymorth sy’n costio mwy na’r camddefnydd. Mae ymosodwr go iawn yn symud i’r allanfa nesaf mewn pwll o filoedd ac yn parhau, heb wario dim ond ailgysylltiad.
Cymesuredd yw’r cam coll. Mae mewngofnodiadau aflwyddiannus dro ar ôl tro, corwynt o geisiadau awtomatig a thorri caniatâd wedi’i ddilysu yn dri digwyddiad gwahanol, a dim ond yr ail yw’n debygol o fod yn broblem ar ffurf cyfeiriad. Cymhwyso’r un gwaharddiad rhwydwaith safle gyfan i’r tri yw sut mae rheolaeth diogelwch yn troi’n giw cymorth.
Gosodwch y penderfyniad lle mae’r dystiolaeth
Mae rheolaethau ar lefel cyfrif yn dilyn y cyfrif ar draws cyfeiriadau, sy’n cyfateb i’r endid rydych chi’n poeni amdano mewn gwirionedd. Mae cyfyngu ar gyfradd, cyfnodau aros ar ôl methiannau dro ar ôl tro a dilysu cam wrth gam ar gyfer gweithredoedd sensitif i gyd yn gweithredu ar y cyfrif neu’r weithred yn hytrach nag ar y llwybr rhwydwaith. Mae hynny’n cyfateb yn well i’r endid rydych chi’n ei amddiffyn mewn gwirionedd. Mae hefyd yn dileu cymhelliant yr ymosodwr i hela am gyfeiriad allanfa ffres.
Mae canllawiau dilysu NIST yn trin y rhain fel mewnbynnau i asesiad risg ac yn rhestru cyfeiriad, geoleoliad ac amseru ceisiadau ymhlith y signalau, sef yn union y fframwaith i’w fenthyca: mae signal yn hysbysu penderfyniad, nid yw’n disodli dilysydd. Darllenwch y rhestr honno fel mewnbynnau, nid fel bwydlen o bethau i’w gwahardd. Y dilysydd sy’n gwneud y profi o hyd, a’r signalau eraill yn unig sy’n penderfynu faint o ffrithiant i’w osod o’i amgylch.
Mae dau gyfyngiad dylunio yn rhwystro’r dull ar lefel cyfrif rhag troi’n ei ddiffyg ei hun. Mae angen llwybr adolygu diogel ar gyfer cyfyngiadau cyfradd fel y gall defnyddiwr adrodd dosbarthiad anghywir heb gyhoeddi manylion mewngofnodi, ac ni ddylid ateb heriau cam wrth gam â chyfrinair na chod untro a roddwyd i gyswllt cymorth heb ei ddilysu.
Sut mae polisi teg yn edrych o’r tu allan
Ysgrifennwch pa benderfyniad y mae pob rheolaeth yn ei gefnogi, yna gwiriwch fod manylder y rheolaeth yn cyfateb. Mae rheolaethau cyfeiriad yn ateb cwestiynau am draffig o rwydwaith; mae rheolaethau cyfrif yn ateb cwestiynau am gyfrif; mae digwyddiadau cymhwysiad yn ateb cwestiynau am ymddygiad ar ôl dilysu. Mae polisi sy’n enwi’r tri yn archwiladwy, ac un sy’n enwi traffig VPN yn unig ddim.
Yna mesurwch y canlyniad yn hytrach na nifer y rheolau. Dylai ymgeision anawdurdodedig ostwng, dylai defnyddwyr dilys gadw llwybr â chymorth, ac ni ddylai nifer y cysylltiadau cymorth fesul mil o fewngofnodi godi. Mae bloc sy’n gwella’r rhif cyntaf tra’n dinistrio’r ddau arall wedi symud y broblem, nid ei datrys.
Mae derbyn cysylltiadau VPN a gorfodi rheolaethau camddefnydd yn nodau cydnaws. Mae’r fersiwn sy’n gweithio yn trin y cyfeiriad ffynhonnell fel un mewnbwn ymhlith sawl un, yn cymhwyso’r rheolaeth gulaf sy’n ffitio’r dystiolaeth, ac yn gadael llwybr gonest i’r person a gafodd ei gamddosbarthu. Mae’r fersiwn sy’n methu yn trin cyfeiriad fel un dan amheuaeth ac yn galw hynny’n bolisi.