Το IPS μπλόκαρε μια βάση δεδομένων μέσω VPN: ορίστε το εύρος της εξαίρεσης
Το VPN δεν απαλλάσσει την εσωτερική κίνηση της βάσης δεδομένων από τον έλεγχο. Συγκρίνετε την καταστολή υπογραφών, τον αποκλεισμό πηγής και την απενεργοποίηση κατηγορίας πριν επιλέξετε.
Οι συνδέσεις βάσης δεδομένων μέσα σε ένα VPN εξακολουθούν να μπλοκάρονται από το IPS, το αρχείο καταγραφής συμβάντων αναφέρει την αιτία και η ταχύτερη επισκευή μοιάζει με εξαίρεση. Πριν από αυτό, προσέξτε τι αλλάζει πραγματικά η σήραγγα. Προστατεύει την κίνηση μεταξύ των άκρων της και μετά παραδίδει απλά εσωτερικά πακέτα σε ό,τι ελέγχει το εσωτερικό του δικτύου, το οποίο είναι ακριβώς εκεί όπου ενεργοποιήθηκε η υπογραφή. Η σήραγγα δεν είναι απαλλαγή και η ανίχνευση δεν είναι αυτόματα λανθασμένη.
Η αποενθυλάκωση είναι το σημείο όπου συνεχίζεται ο έλεγχος
Η κίνηση που φεύγει από μια σήραγγα φτάνει ως συνηθισμένα πακέτα IP με διεύθυνση προς τον κεντρικό υπολογιστή της βάσης δεδομένων. Κάθε συσκευή πρόληψης εισβολών σε αυτή τη διαδρομή τα αξιολογεί σύμφωνα με τη δική της πολιτική, γι’ αυτό μια σύνδεση που πέρασε από κρυπτογραφημένο ζεύγος μπορεί ακόμη να απορριφθεί από κανόνα γραμμένο για το εσωτερικό δίκτυο.
Το TLS από άκρο σε άκρο είναι το όριο αυτής της ορατότητας. Όταν ο πελάτης επαληθεύει το πιστοποιητικό του διακομιστή βάσης δεδομένων, η συσκευή ελέγχου επεξεργάζεται τη σύνδεση αλλά δεν μπορεί να διαβάσει το ωφέλιμο φορτίο της εφαρμογής, οπότε μια ανίχνευση εκεί αντιστοιχεί σε μεταδεδομένα και όχι σε κείμενο ερωτήματος. Παραβλέψτε αυτή τη λεπτομέρεια και κάθε φραγμένη σύνδεση θα μοιάζει με απόδειξη βαθιάς επιθεώρησης. Και τα δύο γεγονότα μετρούν: η συσκευή δεν είναι τυφλή και επίσης δεν διαβάζει τα πάντα.
Μια ανίχνευση δεν είναι ψευδώς θετική εξ ορισμού
Η υπογραφή υπάρχει για να πιάνει ένα μοτίβο, και η αναμενόμενη επιχειρηματική κίνηση μπορεί ακόμη να περάσει από ένα πραγματικά ευάλωτο μονοπάτι κώδικα. Αντιστοιχίστε πρώτα το καταγεγραμμένο συμβάν με τη λειτουργία της εφαρμογής: χρονική σήμανση, εσωτερική πηγή και προορισμός, θύρες, αναγνωριστικό υπογραφής και η ενέργεια που ελήφθη. Αυτά τα έξι πεδία σας λένε επίσης αν η ειδοποίηση ανήκει στη σύνδεση που απέτυχε ή σε έναν γείτονα που έτυχε να είναι απασχολημένος.
Το ότι μερικά πακέτα φτάνουν στον διακομιστή δεν προσδιορίζει το IPS ως αιτία, και μια υπογραφή που ταιριάζει δεν αποδεικνύει ότι ο πελάτης είναι νόμιμος. Και οι δύο αναγνώσεις είναι εικασίες μέχρι το συμβάν να συσχετιστεί με την αναφορά του ίδιου του πελάτη. Το συσχετισμένο συμβάν είναι η απόδειξη, και η έκδοση της βάσης δεδομένων είναι μέρος της κρίσης.
Τρία εύρη εξαίρεσης και τι αφαιρεί το καθένα
Οι επιλογές διαφέρουν στο πόσο έλεγχο απενεργοποιούν, και η διαφορά είναι μεγαλύτερη από ό,τι υποδηλώνει η διεπαφή της ρύθμισης. Η καταστολή υπογραφής αφαιρεί έναν κανόνα για την κίνηση που ταιριάζει. Ο αποκλεισμός πηγής αφαιρεί τον έλεγχο όλων από αυτή τη διεύθυνση. Η απενεργοποίηση κατηγορίας αφαιρεί μια οικογένεια κανόνων, μερικές φορές σε όλη την πολιτική.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Προτιμήστε την πρώτη σειρά όποτε το προϊόν μπορεί να την εκφράσει. Όταν δεν μπορεί, κλιμακώστε τον περιορισμό αντί να παρουσιάσετε μια ευρεία εξαίρεση ως ακριβή· το άτομο που την εγκρίνει πρέπει να δει τη διαφορά γραπτώς.
Το εύρος που νομίζετε ότι ορίσατε
Η μετάφραση αλλάζει τι καλύπτει μια εξαίρεση. Όταν πολλοί πελάτες VPN εμφανίζονται πίσω από μία μεταφρασμένη διεύθυνση, ο αποκλεισμός αυτής της διεύθυνσης τους απαλλάσσει όλους, κάτι πολύ ευρύτερο από το μεμονωμένο εύρημα που ξεκίνησε την έρευνα.
Ελέγξτε το πραγματικό εύρος αντί για τη φόρμα που συμπληρώσατε, και καταγράψτε το αναγνωριστικό του περιστατικού δίπλα στον κανόνα. Μια εξαίρεση χωρίς αιτία γίνεται μόνιμη πολιτική, και ο επόμενος ελεγκτής δεν έχει τρόπο να ξέρει αν ισχύει ακόμη.
Δοκιμάστε ξανά τη λειτουργία και το όριο
Επαναλάβετε την ίδια αβλαβή λειτουργία βάσης δεδομένων και επιβεβαιώστε ότι η σύνδεση ολοκληρώνεται, μετά επιβεβαιώστε ότι άσχετες ανιχνεύσεις εξακολουθούν να ενεργοποιούνται σε μια δοκιμή που θα έπρεπε να τις προκαλέσει. Η αποκατάσταση της συνδεσιμότητας είναι ένα κριτήριο αποδοχής· η διατήρηση του επιδιωκόμενου ορίου είναι το άλλο.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Γράψτε τι εξαιρέθηκε, γιατί και πότε να το επανεξετάσετε μετά την επόμενη ενημέρωση υπογραφών ή αναβάθμιση εφαρμογής. Μια καταστολή που διαβάζεται ξανά σε τακτά διαστήματα είναι μηχανική απόφαση· μία που κανείς δεν θυμάται είναι αργή επέκταση του ορίου εμπιστοσύνης.