IPS blokerede en database over VPN: afgræns undtagelsen
En VPN fritager ikke den indre databasetrafik fra inspektion. Sammenlign undertrykkelse af signaturer, udelukkelse af kilden og deaktivering af en kategori, før du vælger.
Databaseforbindelser inde i en VPN bliver stadig blokeret af IPS’en, hændelsesloggen angiver årsagen, og den hurtigste reparation ligner en undtagelse. Før det, læg mærke til hvad tunnelen faktisk ændrer. Den beskytter trafik mellem sine endepunkter og giver derefter almindelige indre pakker videre til det, der inspicerer netværkets indre, hvilket er præcis der, hvor signaturen blev udløst. Tunnelen er ikke en fritagelse, og registreringen er ikke automatisk forkert.
Dekapsulering er hvor inspektionen genoptages
Trafik, der forlader en tunnel, ankommer som almindelige IP-pakker adresseret til databaseværten. Enhver enhed til forebyggelse af indtrængen på den vej vurderer dem efter sin egen politik, og derfor kan en forbindelse, der har krydset et krypteret link, stadig blive droppet af en regel skrevet til det indre netværk.
End-to-end TLS er grænsen for den synlighed. Når klienten verificerer databaseserverens certifikat, behandler inspektionsenheden forbindelsen, men kan ikke læse applikationsdataene, så en registrering der matcher metadata snarere end forespørgselstekst. Spring den detalje over, og enhver blokeret forbindelse ser ud som bevis på dyb inspektion. Begge fakta er vigtige: enheden er ikke blind, og den læser heller ikke alt.
En registrering er ikke en falsk positiv som standard
Signaturen findes for at fange et mønster, og forventet forretningstrafik kan stadig gennemløbe en reelt sårbar kodesti. Match først den registrerede hændelse med applikationens handling: tidsstempel, indre kilde og destination, porte, signaturidentifikator og den udførte handling. De seks felter fortæller også, om advarslen hører til den forbindelse, der fejlede, eller til en nabo, der tilfældigvis var optaget.
At et par pakker når serveren identificerer ikke IPS’en som årsagen, og en matchende signatur beviser ikke, at klienten er legitim. Begge læsninger er gæt, indtil hændelsen korreleres med klientens egen rapport. Den korrelerede hændelse er beviset, og databaseversionen er en del af vurderingen.
Tre undtagelsesomfang og hvad hver fjerner
Mulighederne adskiller sig i, hvor meget inspektion de slår fra, og forskellen er større, end indstillingens grænseflade antyder. Undertrykkelse af en signatur fjerner én regel for den trafik, den matcher. Udelukkelse af en kilde fjerner inspektion af alt fra den adresse. Deaktivering af en kategori fjerner en familie af regler, nogle gange i hele politikken.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Foretræk den første række, når produktet kan udtrykke det. Når det ikke kan, eskalér begrænsningen i stedet for at fremstille en bred undtagelse som en præcis; den person, der godkender den, bør se forskellen på skrift.
Det omfang, du tror, du har sat
Oversættelse ændrer, hvad en undtagelse dækker. Når flere VPN-klienter optræder bag én oversat adresse, fritager udelukkelsen af den adresse dem alle, hvilket er langt bredere end det ene fund, der startede undersøgelsen.
Kontrollér det effektive omfang i stedet for den formular, du udfyldte, og notér hændelsesidentifikatoren ved siden af reglen. En undtagelse uden en begrundelse bliver permanent politik, og den næste gennemgang har ingen måde at vide, om den stadig gælder.
Test handlingen og grænsen igen
Gentag den samme ufarlige databasehandling og bekræft, at forbindelsen fuldføres, og bekræft derefter, at urelaterede registreringer stadig udløses i en test, der bør fremkalde dem. At genskabe forbindelsen er ét acceptkriterium; at bevare den tilsigtede grænse er det andet.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Skriv ned, hvad der blev undtaget, hvorfor, og hvornår det skal tages op igen efter den næste signaturopdatering eller applikationsopgradering. En undertrykkelse, der genlæses på en fast kadence, er en ingeniørmæssig beslutning; en som ingen husker, er en langsom udvidelse af tillidsgrænsen.