Hvorfor en VPN-regel ikke kan stoppe upload af én fil
At nå en tjeneste og at styre, hvilke filer der forlader den, er to krav. Læg reglen der, hvor filen er synlig: mail, applikation eller endpoint-agent.
Et lille team beder om fjernadgang til sine arbejdssystemer og beder i samme åndedrag om, at visse vedhæftede filer holder op med at forlade virksomheden. Begge ønsker lyder som én VPN-ændring. De er to krav med forskellige håndhævelsespunkter, og en regel, der opfylder det første, gør intet for det andet. Begynd med at navngive handlingen og dataene, og vælg derefter den komponent, der faktisk kan se dem.
Én anmodning, to krav
Det første krav handler om nåbarhed: hvilke brugere og enheder der må åbne en forbindelse til hvilken tjeneste. Det andet handler om adfærd, efter at forbindelsen findes: hvilke dokumenter der må vedhæftes, indsættes eller uploades. En tunnel virker på det første og er blind for det andet af design.
En kontrol på IP-niveau videresender pakker. Den parser ikke en upload i flere dele, inspicerer ikke en PDF og afgør ikke, om et regneark indeholder kontonumre. At forvente det er ikke en konfigurationsfejl; det er en kategorifejl.
Sig kravet højt i den form, før du leder efter et produkt. „Brugere må nå filportalen“ og „brugere må ikke uploade kundelister til filportalen“ er forskellige sætninger, og kun den anden beskriver en indholdspolitik.
Vælg den komponent, der kan se filen
Håndhævelsen skal ske der, hvor filen er læsbar. For e-mail er det normalt mailplatformen eller gatewayen, som allerede håndterer vedhæftninger og kan vurdere dem før levering. For browser-uploads til en godkendt tjeneste kan applikationen selv være den eneste part, der ser indholdet. For en administreret bærbar computer, der kopierer filer til flytbare medier, ser en endpoint-agent handlingen.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Nogle kommercielle fjernadgangspakker samler en endpoint-agent, en webkontrol og et modul til forebyggelse af datatab. De komponenter kan godt håndhæve indholdspolitik, men evnen tilhører modulet og ikke tunnelingen. Læs, hvad pakken faktisk indeholder, før du lover resultatet.
Microsofts oversigt over forebyggelse af datatab i Purview er en nyttig model at sammenligne med: den beskriver politikker i form af følsomme oplysningstyper, placeringer og aktiviteter. Det ordforråd handler om indhold og handlinger, ikke om IP-præfikser.
TLS overlever tunnelen, så planlæg det
Applikationskryptering forhandles mellem klienten og tjenesten, og en VPN-tunnel bærer de bytes uden at åbne dem. En gateway på ruten får derfor ikke automatisk evnen til at klassificere en vedhæftet fil, uanset hvor meget af ruten den ejer.
For at inspicere indhold undervejs skal du bruge en komponent, der afslutter TLS med et betroet certifikat, og det er en betydelig arkitekturbeslutning med egne konsekvenser for privatliv og drift. Det er ikke et afkrydsningsfelt i VPN-profilen. Klienter skal stole på inspektionscertifikatet, applikationer, der pinner certifikater, går i stykker, og operatøren får mulighed for at læse trafik, den før ikke kunne. Det er grundene til, at denne beslutning hører til en sikkerhedsejer og ikke til den, der driver tunnelen.
Derfor er det ærlige svar på „kan VPN'en blokere denne upload“ normalt nej, efterfulgt af et konkret alternativ. Alternativet kan være begrænsninger på applikationsniveau, en mailregel eller en endpoint-politik, og hver af dem har en ejer, der kan ændre den.
Skriv accepttesten før reglen
En indholdsregel kræver to eksempler, ikke ét: en tilladt handling, der skal blive ved med at virke, og en forbudt handling, der skal stoppes. Test begge fra de applikationer og enheder, der er omfattet, for en politik, der kun virker i én browser, er ikke den politik, nogen bad om.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadDen første anmodning bør afvises af den komponent, der ejer reglen, og den anden bør lykkes. Hvis begge lykkes, er kontrollen ikke på ruten. Hvis begge fejler, har du brudt tjenesten i stedet for at beskytte den, hvilket er det mere almindelige resultat af en regel skrevet uden et tilladt eksempel.
Beslut på forhånd, hvad brugeren ser, hvem der kan give en undtagelse, og hvor en administrator bekræfter beslutningen bagefter. En blokeret upload uden besked giver en supportbillet, og en regel, ingen kan revidere, giver en diskussion. Begge kan undgås med én sætning dokumentation skrevet, før politikken går i drift.
Endelig skal de to krav holdes i separate sager med separate ejere. At samle dem under „VPN“ garanterer, at netværksteamet bliver bedt om at løse et indholdsproblem, og at indholdsproblemet bliver erklæret løst, når tunnelen kommer op.