Τι μπορεί να δει μια πύλη VPN εργασίας για το πού βρίσκεστε

Η διεύθυνση που βλέπει ένας ιστότοπος αφού συνδεθείτε σε VPN εργασίας δεν είναι η διεύθυνση που είδε η πύλη εργασίας όταν συνδεθήκατε. Η πύλη δέχεται μια εισερχόμενη σήραγγα από όποιο δίκτυο βρίσκεται ο φορητός σας, και αυτή η προέλευση είναι ορατή σε αυτήν πριν υπάρξει καθόλου κίνηση μέσα στη σήραγγα. Το ότι ένα πρόγραμμα περιήγησης αναφέρει αργότερα μια εταιρική έξοδο δεν σβήνει την προηγούμενη παρατήρηση, γιατί οι δύο είναι παρατηρήσεις διαφορετικών πραγμάτων. Η κατανόηση του ποια είναι ποια επιλύει το μεγαλύτερο μέρος της συζήτησης για το τι μπορεί και τι δεν μπορεί να συμπεράνει ένας εργοδότης.

Δύο διευθύνσεις, δύο διαφορετικές παρατηρήσεις

Ο μηχανισμός είναι ένα socket, όχι μια πολιτική. Όταν ο πελάτης σας ανοίγει τη σήραγγα, στέλνει πακέτα από μια τοπική διεύθυνση στη δημόσια διεύθυνση της πύλης, και ο πυρήνας της πύλης καταγράφει την προέλευση αυτής της ροής. Αυτή η προέλευση είναι το άκρο δικτύου που εκχώρησε ο πάροχός σας στη σύνδεση εκείνη τη στιγμή.

Πίσω από έναν οικιακό δρομολογητή η προέλευση είναι η δημόσια διεύθυνση του δρομολογητή μετά το NAT. Σε ένα κινητό δίκτυο μπορεί να είναι διεύθυνση NAT σε επίπεδο παρόχου, κοινή ταυτόχρονα με πολλούς άλλους συνδρομητές, γι' αυτό δύο άσχετοι άνθρωποι μπορούν να φαίνονται σαν να έρχονται από τον ίδιο τόπο. Σε ένα εταιρικό δίκτυο επισκεπτών είναι η έξοδος εκείνου του δικτύου. Σε κάθε περίπτωση η πύλη μαθαίνει μια διεύθυνση, μια θύρα και μια χρονική σφραγίδα, και η διεύθυνση ανήκει σε έναν πάροχο δικτύου και όχι σε ένα πρόσωπο.

Τι καταγράφει πραγματικά η πύλη

Το τι καταγράφεται μετά είναι ξεχωριστό ερώτημα από το τι είναι τεχνικά ορατό. Η πύλη μπορεί να καταγράψει τη σύνδεση, την ταυτότητα ελέγχου ταυτότητας και τη διεύθυνση σήραγγας που εκχωρήθηκε, ή μπορεί να μην καταγράψει σχεδόν τίποτα πέρα από την κατάσταση συνεδρίας. Η διατήρηση, η εξαγωγή σε SIEM και η συσχέτιση με λογαριασμό είναι αποφάσεις ανάπτυξης, και καμία τους δεν προκύπτει από το γεγονός ότι η προέλευση ήταν παρατηρήσιμη.

Αντιμετωπίστε την ορατότητα και τη διατήρηση ως δύο άξονες. Μια υπηρεσία μπορεί να βλέπει τα πάντα και να μη διατηρεί τίποτα, ή να βλέπει λίγα και να προωθεί τα πάντα.

Η πρακτική συνέπεια είναι ότι δεν μπορείτε να συλλογιστείτε για τα αρχεία του εργοδότη σας με βάση τον πελάτη που εγκαταστήσατε. Ρωτήστε τι έχει ρυθμιστεί να συλλέγει η υπηρεσία και για πόσο, και περιμένετε η απάντηση να είναι έγγραφο πολιτικής και όχι τεχνική εγγύηση. Αξίζει επίσης να διαχωρίσετε την πύλη VPN από όλα τα άλλα σε μια διαχειριζόμενη συσκευή, γιατί το λογισμικό τελικού σημείου έχει δικές του δυνατότητες και δικά του αρχεία. Ένα προσωπικό VPN αλλάζει μια διαδρομή· δεν αλλάζει το τι μπορεί να παρατηρήσει λογισμικό που ήδη εκτελείται στο μηχάνημα.

Τι μπορεί και τι δεν μπορεί να πει μια βάση IP

Μια βάση γεωεντοπισμού IP παίρνει αυτή τη διεύθυνση και επιστρέφει πεδία: χώρα, περιοχή, πόλη, ταχυδρομικό κώδικα, γεωγραφικό πλάτος και μήκος, καθώς και ακτίνα ακρίβειας όπου ο προμηθευτής παρέχει μία. Αυτά τα πεδία είναι εκτιμήσεις που προκύπτουν από δεδομένα καταχώρισης, τοπολογία δικτύου και μετρημένη καθυστέρηση, και υποβαθμίζονται διαφορετικά σε κάθε επίπεδο. Μια απάντηση για τη χώρα μπορεί να είναι στέρεη ενώ η απάντηση για την πόλη είναι εικασία.

Οι οδηγίες ακρίβειας της ίδιας της MaxMind είναι σαφείς για τη διάκριση που μετρά εδώ: ο εντοπισμός ενός διακομιστή VPN δεν είναι ο εντοπισμός των χρηστών του, και τα δεδομένα δεν μπορούν να ταυτοποιήσουν ένα νοικοκυριό, ένα άτομο ή μια διεύθυνση οδού. Διαβάστε την ακτίνα ακρίβειας και τα πεδία εμπιστοσύνης όπου το προϊόν τα εκθέτει, και αντιμετωπίστε τα ελλιπή δεδομένα ως ελλιπή και όχι ως προεπιλεγμένη τιμή. Μια πινέζα στον χάρτη είναι επιλογή απεικόνισης, όχι μέτρηση. Τα αρχεία καταχώρισης και το αντίστροφο DNS είναι άλλο ένα είδος απόδειξης: το whois 203.0.113.5 σας λέει ποιος πάροχος κατέχει την εκχώρηση και το dig +short -x 203.0.113.5 σας λέει πώς ο πάροχος την ονόμασε, και κανένα από τα δύο δεν είναι δήλωση για το πού στεκόταν ένα άτομο.

Αρχεία που δεν είναι ανταλλάξιμα

Αυτό κόβει και προς τις δύο κατευθύνσεις, γι' αυτό είναι κακή βάση για κατηγορηματική απόφαση. Μια εκτίμηση που ταιριάζει με την εγκεκριμένη περιοχή δεν αποδεικνύει παρουσία. Μια απόκλιση δεν αποδεικνύει από μόνη της εξαπάτηση.

Μια εξέταση τηλεργασίας που βασίζεται σε μία μόνο αναζήτηση απαντά σε άλλο ερώτημα από αυτό που τίθεται. Αυτό που χρειάζεται είναι πλαίσιο: ποιες τοποθεσίες επιτρέπει η ρύθμιση, τι δήλωσε το άτομο και αν συμφωνούν άλλες αποδείξεις. Είναι διαδικασία διοίκησης με τεχνικά δεδομένα, όχι τεχνική ετυμηγορία.

Τα άλλα αρχεία που μπορεί να τηρεί ένας οργανισμός δεν είναι ανταλλάξιμα με μια διεύθυνση προέλευσης. Η ρύθμιση ζώνης ώρας είναι προτίμηση συσκευής που μπορεί να αλλάξει ο καθένας· ένα γεγονός λογαριασμού καταγράφει ότι συνέβη μια συνεδρία, όχι πού· μια ανάγνωση θέσης συσκευής από λογισμικό τελικού σημείου είναι άλλος αισθητήρας, με άλλες άδειες και άλλους τρόπους σφάλματος. Το να υποθέτουμε ότι κάθε εργοδότης τα συλλέγει όλα είναι εξίσου λάθος με το να υποθέτουμε ότι δεν συλλέγεται κανένα. Η χρήσιμη πειθαρχία είναι να ονομάσουμε το αρχείο, τον ιδιοκτήτη του και τον τρόπο σφάλματός του πριν το αντιμετωπίσουμε ως απόδειξη οτιδήποτε.

Τι προκύπτει για μια ρύθμιση εργασίας

Για τις δικές σας ρυθμίσεις, το ερώτημα είναι τι συλλέγει ο οργανισμός και ποιες τοποθεσίες εργασίας επιτρέπει. Είναι δύο απαντήσεις από δύο διαφορετικά μέρη της επιχείρησης.

Μια απεικόνιση της IP προέλευσης δεν μπορεί να κρίνει άδεια εργασίας από έναν τόπο, και η αλλαγή διαδρομής δεν υποκαθιστά τη συμφωνία για τη ρύθμιση. Αν η πολιτική είναι ασαφής, το παραγωγικό βήμα είναι να ρωτήσετε και όχι να βελτιστοποιήσετε τη διαδρομή δικτύου. Οι τεχνικές παρακάμψεις τείνουν να παράγουν ακριβώς το αρχείο που μοιάζει με απόκρυψη.

Η υπερασπίσιμη τεχνική δήλωση είναι στενή, και αξίζει να μείνει στενή: η πύλη παρατηρεί τη δικτυακή προέλευση της εισερχόμενης σύνδεσης, μια βάση γεωεντοπισμού μπορεί να εκτιμήσει μια θέση για αυτή την προέλευση, και κάθε ισχυρισμός για τη φυσική θέση ενός προσώπου χρειάζεται αποδείξεις πέρα από τα δύο. Οι οδηγίες ακρίβειας της MaxMind είναι η αναφορά για το τι στηρίζουν αυτές οι εκτιμήσεις. Ό,τι ακολουθεί είναι ζήτημα πολιτικής με τεχνικό ένδυμα.