IPS blockierte eine Datenbank über VPN: den Ausnahmebereich festlegen
Ein VPN stellt den inneren Datenbankverkehr nicht von der Prüfung frei. Vergleichen Sie Signaturunterdrückung, Quellausschluss und Kategoriedeaktivierung, bevor Sie wählen.
Datenbankverbindungen innerhalb eines VPN werden weiterhin von der IPS blockiert, das Ereignisprotokoll nennt die Ursache, und die schnellste Reparatur sieht wie eine Ausnahme aus. Beachten Sie vorher, was der Tunnel tatsächlich ändert. Er schützt den Verkehr zwischen seinen Endpunkten und übergibt dann einfache innere Pakete an das, was das Innere des Netzes prüft, und genau dort hat die Signatur ausgelöst. Der Tunnel ist keine Ausnahme, und die Erkennung ist nicht automatisch falsch.
Bei der Entkapselung setzt die Prüfung wieder ein
Verkehr, der einen Tunnel verlässt, kommt als gewöhnliche IP-Pakete an, die an den Datenbankhost adressiert sind. Jede Einrichtung zur Angriffserkennung auf diesem Weg bewertet sie nach ihrer eigenen Richtlinie, weshalb eine Verbindung, die eine verschlüsselte Strecke überquert hat, noch immer durch eine für das Innennetz geschriebene Regel verworfen werden kann.
Ende-zu-Ende-TLS ist die Grenze dieser Sichtbarkeit. Wenn der Client das Zertifikat des Datenbankservers prüft, verarbeitet die Prüfeinrichtung die Verbindung, kann aber die Anwendungsnutzdaten nicht lesen, sodass eine Erkennung dort Metadaten statt Abfragetext entspricht. Übersehen Sie dieses Detail, und jede blockierte Verbindung wirkt wie ein Beweis für tiefe Prüfung. Beide Tatsachen zählen: Die Einrichtung ist nicht blind, und sie liest auch nicht alles.
Eine Erkennung ist nicht standardmäßig ein Fehlalarm
Die Signatur dient dazu, ein Muster zu erkennen, und erwarteter Geschäftsverkehr kann dennoch einen wirklich verwundbaren Codepfad durchlaufen. Ordnen Sie zuerst das aufgezeichnete Ereignis der Anwendungsoperation zu: Zeitstempel, innere Quelle und Ziel, Ports, Signaturkennung und die ergriffene Maßnahme. Diese sechs Felder sagen Ihnen auch, ob der Alarm zu der fehlgeschlagenen Verbindung gehört oder zu einem Nachbarn, der zufällig beschäftigt war.
Dass einige Pakete den Server erreichen, weist nicht auf die IPS als Ursache hin, und eine passende Signatur beweist nicht, dass der Client legitim ist. Beide Lesarten sind Vermutungen, bis das Ereignis mit dem eigenen Bericht des Clients korreliert wird. Das korrelierte Ereignis ist der Beweis, und die Datenbankversion gehört zum Urteil.
Drei Ausnahmebereiche und was jeder entfernt
Die Optionen unterscheiden sich darin, wie viel Prüfung sie abschalten, und der Unterschied ist größer, als die Oberfläche der Einstellung vermuten lässt. Die Signaturunterdrückung entfernt eine Regel für den Verkehr, auf den sie passt. Der Quellausschluss entfernt die Prüfung von allem von dieser Adresse. Das Deaktivieren einer Kategorie entfernt eine Regelfamilie, manchmal in der gesamten Richtlinie.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Bevorzugen Sie die erste Zeile, wann immer das Produkt sie ausdrücken kann. Wenn nicht, eskalieren Sie die Einschränkung, statt einen breiten Ausschluss als präzisen darzustellen; wer ihn genehmigt, sollte den Unterschied schriftlich sehen.
Der Bereich, den Sie gesetzt zu haben glauben
Die Übersetzung ändert, was ein Ausschluss abdeckt. Wenn mehrere VPN-Clients hinter einer übersetzten Adresse erscheinen, befreit der Ausschluss dieser Adresse sie alle, was deutlich weiter reicht als der einzelne Befund, der die Untersuchung ausgelöst hat.
Prüfen Sie den wirksamen Bereich statt des Formulars, das Sie ausgefüllt haben, und notieren Sie die Vorfallkennung neben der Regel. Ein Ausschluss ohne Begründung wird zur dauerhaften Richtlinie, und der nächste Prüfer kann nicht erkennen, ob er noch gilt.
Testen Sie die Operation und die Grenze erneut
Wiederholen Sie dieselbe harmlose Datenbankoperation und bestätigen Sie, dass die Verbindung zustande kommt, und bestätigen Sie dann, dass unabhängige Erkennungen in einem Test, der sie auslösen sollte, weiterhin anschlagen. Die Konnektivität wiederherzustellen ist ein Abnahmekriterium; die beabsichtigte Grenze zu wahren ist das andere.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Notieren Sie, was ausgenommen wurde, warum und wann es nach dem nächsten Signatur-Update oder Anwendungs-Upgrade zu überprüfen ist. Eine Unterdrückung, die regelmäßig neu gelesen wird, ist eine technische Entscheidung; eine, an die sich niemand erinnert, ist eine langsame Ausweitung der Vertrauensgrenze.