Γιατί ένας κανόνας VPN δεν μπορεί να σταματήσει το ανέβασμα ενός αρχείου
Η πρόσβαση σε μια υπηρεσία και ο έλεγχος των αρχείων που φεύγουν από αυτήν είναι δύο απαιτήσεις. Τοποθετήστε τον κανόνα εκεί όπου το αρχείο είναι ορατό: αλληλογραφία, εφαρμογή ή πράκτορας τελικού σημείου.
Μια μικρή ομάδα ζητά απομακρυσμένη πρόσβαση στα συστήματά της και, με την ίδια ανάσα, ζητά ορισμένα συνημμένα να σταματήσουν να φεύγουν από την εταιρεία. Και τα δύο αιτήματα ακούγονται σαν μία αλλαγή VPN. Είναι δύο απαιτήσεις με διαφορετικά σημεία επιβολής, και ένας κανόνας που ικανοποιεί την πρώτη δεν κάνει τίποτα για τη δεύτερη. Ξεκινήστε ονομάζοντας την ενέργεια και τα δεδομένα και μετά επιλέξτε το στοιχείο που μπορεί πραγματικά να τα δει.
Ένα αίτημα, δύο απαιτήσεις
Η πρώτη απαίτηση αφορά την προσβασιμότητα: ποιοι χρήστες και συσκευές μπορούν να ανοίξουν σύνδεση σε ποια υπηρεσία. Η δεύτερη αφορά τη συμπεριφορά μετά την ύπαρξη αυτής της σύνδεσης: ποια έγγραφα μπορούν να επισυναφθούν, να επικολληθούν ή να ανέβουν. Ένα τούνελ επιδρά στην πρώτη και είναι εκ σχεδιασμού τυφλό στη δεύτερη.
Ένας έλεγχος σε επίπεδο IP προωθεί πακέτα. Δεν αναλύει ένα ανέβασμα πολλαπλών μερών, δεν εξετάζει ένα PDF και δεν αποφασίζει αν ένα υπολογιστικό φύλλο περιέχει αριθμούς λογαριασμών. Το να το περιμένει κανείς αυτό δεν είναι λάθος ρύθμισης· είναι λάθος κατηγορίας.
Πείτε την απαίτηση δυνατά με αυτή τη μορφή πριν ψάξετε για προϊόν. Το «οι χρήστες μπορούν να φτάσουν στην πύλη αρχείων» και το «οι χρήστες δεν μπορούν να ανεβάζουν λίστες πελατών στην πύλη αρχείων» είναι διαφορετικές προτάσεις, και μόνο η δεύτερη περιγράφει πολιτική περιεχομένου.
Επιλέξτε το στοιχείο που μπορεί να δει το αρχείο
Η επιβολή πρέπει να γίνεται εκεί όπου το αρχείο είναι αναγνώσιμο. Για το ηλεκτρονικό ταχυδρομείο, αυτό είναι συνήθως η πλατφόρμα ή η πύλη αλληλογραφίας, που ήδη χειρίζεται συνημμένα και μπορεί να τα αξιολογήσει πριν από την παράδοση. Για ανεβάσματα από πρόγραμμα περιήγησης σε εγκεκριμένη υπηρεσία, η ίδια η εφαρμογή μπορεί να είναι το μόνο μέρος που βλέπει το περιεχόμενο. Για φορητό υπολογιστή υπό διαχείριση που αντιγράφει αρχεία σε αφαιρούμενα μέσα, ένας πράκτορας τελικού σημείου βλέπει την ενέργεια.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Ορισμένες εμπορικές σουίτες απομακρυσμένης πρόσβασης συνδυάζουν πράκτορα τελικού σημείου, έλεγχο ιστού και μονάδα πρόληψης απώλειας δεδομένων. Αυτά τα στοιχεία μπορούν κάλλιστα να επιβάλλουν πολιτική περιεχομένου, αλλά η ικανότητα ανήκει στη μονάδα και όχι στη σήραγγα. Διαβάστε τι περιλαμβάνει πραγματικά η σουίτα πριν υποσχεθείτε το αποτέλεσμα.
Η επισκόπηση της πρόληψης απώλειας δεδομένων του Purview της Microsoft είναι ένα χρήσιμο μοντέλο για σύγκριση: περιγράφει πολιτικές με όρους τύπων ευαίσθητων πληροφοριών, τοποθεσιών και δραστηριοτήτων. Αυτό το λεξιλόγιο αφορά περιεχόμενο και ενέργειες, όχι προθέματα IP.
Το TLS επιβιώνει του τούνελ, γι' αυτό σχεδιάστε το
Η κρυπτογράφηση της εφαρμογής διαπραγματεύεται μεταξύ πελάτη και υπηρεσίας, και ένα τούνελ VPN μεταφέρει αυτά τα byte χωρίς να τα ανοίγει. Επομένως μια πύλη στη διαδρομή δεν αποκτά αυτόματα την ικανότητα να ταξινομεί ένα συνημμένο, όσο μεγάλο μέρος της διαδρομής κι αν κατέχει.
Για να εξετάσετε περιεχόμενο κατά τη μεταφορά χρειάζεστε ένα στοιχείο που τερματίζει το TLS με αξιόπιστο πιστοποιητικό, το οποίο είναι μια σοβαρή αρχιτεκτονική απόφαση με δικές της συνέπειες για την ιδιωτικότητα και τη λειτουργία. Δεν είναι ένα πλαίσιο ελέγχου στο προφίλ VPN. Οι πελάτες πρέπει να εμπιστεύονται το πιστοποιητικό επιθεώρησης, οι εφαρμογές που καρφιτσώνουν πιστοποιητικά θα σπάσουν και ο φορέας εκμετάλλευσης αποκτά τη δυνατότητα να διαβάζει κίνηση που πριν δεν μπορούσε. Αυτοί είναι οι λόγοι που αυτή η απόφαση ανήκει σε υπεύθυνο ασφάλειας και όχι σε όποιον διαχειρίζεται το τούνελ.
Γι' αυτό η ειλικρινής απάντηση στο «μπορεί το VPN να μπλοκάρει αυτό το ανέβασμα» είναι συνήθως όχι, ακολουθούμενη από μια συγκεκριμένη εναλλακτική. Η εναλλακτική μπορεί να είναι περιορισμοί σε επίπεδο εφαρμογής, ένας κανόνας αλληλογραφίας ή μια πολιτική τελικού σημείου, και καθεμία έχει υπεύθυνο που μπορεί να την αλλάξει.
Γράψτε το τεστ αποδοχής πριν από τον κανόνα
Ένας κανόνας περιεχομένου χρειάζεται δύο παραδείγματα, όχι ένα: μια επιτρεπόμενη ενέργεια που πρέπει να συνεχίσει να λειτουργεί και μια απαγορευμένη ενέργεια που πρέπει να σταματήσει. Δοκιμάστε και τις δύο από τις εφαρμογές και τις συσκευές του πεδίου, γιατί μια πολιτική που λειτουργεί μόνο σε ένα πρόγραμμα περιήγησης δεν είναι η πολιτική που ζήτησε κανείς.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadΤο πρώτο αίτημα θα πρέπει να απορριφθεί από όποιο στοιχείο κατέχει τον κανόνα, και το δεύτερο θα πρέπει να πετύχει. Αν πετύχουν και τα δύο, ο έλεγχος δεν βρίσκεται στη διαδρομή. Αν αποτύχουν και τα δύο, έχετε σπάσει την υπηρεσία αντί να την προστατεύσετε, που είναι το πιο συνηθισμένο αποτέλεσμα ενός κανόνα γραμμένου χωρίς επιτρεπόμενο παράδειγμα.
Αποφασίστε εκ των προτέρων τι βλέπει ο χρήστης, ποιος μπορεί να χορηγήσει εξαίρεση και πού επιβεβαιώνει ο διαχειριστής την απόφαση αργότερα. Ένα μπλοκαρισμένο ανέβασμα χωρίς μήνυμα παράγει ένα αίτημα υποστήριξης, και ένας κανόνας που κανείς δεν μπορεί να ελέγξει παράγει μια διαφωνία. Και τα δύο αποφεύγονται με μία πρόταση τεκμηρίωσης γραμμένη πριν τεθεί σε ισχύ η πολιτική.
Τέλος, κρατήστε τις δύο απαιτήσεις σε χωριστά αιτήματα με χωριστούς υπευθύνους. Η συγκέντρωσή τους κάτω από το «VPN» εγγυάται ότι θα ζητηθεί από την ομάδα δικτύου να λύσει ένα πρόβλημα περιεχομένου και ότι το πρόβλημα περιεχομένου θα κηρυχθεί λυμένο όταν σηκωθεί το τούνελ.