IPS blokis datumbazon tra VPN: limigu la escepton
VPN ne liberigas internan datumbazan trafikon de kontrolo. Komparu subpremadon de subskriboj, ekskludon de fonto kaj malŝalton de kategorio antaŭ ol vi elekti.
Datumbazaj konektoj ene de VPN ankoraŭ estas blokataj de la IPS, la evento-protokolo nomas la kaŭzon, kaj la plej rapida riparo aspektas kiel escepto. Antaŭe, rimarku kion la tunelo efektive ŝanĝas. Ĝi protektas trafikon inter siaj finpunktoj kaj poste transdonas ordinarajn internajn pakaĵojn al tio, kio kontrolas la internon de la reto, kio estas ĝuste tie, kie la subskribo ekfunkciis. La tunelo ne estas escepto, kaj la detekto ne estas aŭtomate malĝusta.
Mal-enkapsuligo estas kie la kontrolo rekomenciĝas
Trafiko lasanta tunelon alvenas kiel ordinaraj IP-pakaĵoj adresitaj al la datumbaza gastiganto. Iu ajn enpenetra-preventa aparato sur tiu vojo taksas ilin laŭ sia propra politiko, kio estas kial konekto, kiu trapasis ĉifritan ligilon, ankoraŭ povas esti forĵetita per regulo skribita por la interna reto.
TLS de fino al fino estas la limo de tiu videbleco. Kiam la kliento kontrolas la atestilon de la datumbaza servilo, la kontrola aparato prilaboras la konekton sed ne povas legi la aplikaĵan enhavon, do detekto tie kongruas al metadatenoj anstataŭ al la teksto de la peto. Preterlasu tiun detalon kaj ĉiu blokita konekto aspektos kiel pruvo de profunda kontrolo. Ambaŭ faktoj gravas: la aparato ne estas blinda, kaj ĝi ankaŭ ne legas ĉion.
Detekto ne estas false pozitiva defaŭlte
La subskribo ekzistas por kapti ŝablonon, kaj atendata komerca trafiko ankoraŭ povas trairi vere vundeblan kodvojon. Unue kongruigu la registritan eventon al la aplikaĵa operacio: tempomarko, interna fonto kaj celo, pordoj, subskriba identigilo kaj la prenita ago. Tiuj ses kampoj ankaŭ diras al vi, ĉu la alarmo apartenas al la malsukcesinta konekto aŭ al najbaro, kiu hazarde estis okupata.
Kelkaj pakaĵoj atingantaj la servilon ne identigas la IPS kiel kaŭzon, kaj kongrua subskribo ne pruvas, ke la kliento estas legitima. Ambaŭ legadoj estas konjektoj ĝis la evento korelacios kun la propra raporto de la kliento. La korelaciita evento estas la pruvo, kaj la datumbaza versio estas parto de la juĝo.
Tri esceptaj limoj kaj kion ĉiu forigas
La opcioj diferencas en kiom da kontrolo ili malŝaltas, kaj la diferenco estas pli granda ol la interfaco de la agordo sugestas. Subpremado de subskribo forigas unu regulon por la trafiko, kiun ĝi kongruas. Ekskludo de fonto forigas kontrolon de ĉio el tiu adreso. Malŝalto de kategorio forigas familion de reguloj, foje en la tuta politiko.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Preferu la unuan vicon kiam ajn la produkto povas esprimi ĝin. Kiam ĝi ne povas, eskaladu la limigon anstataŭ prezenti larĝan escepton kiel precizan; la persono, kiu aprobas ĝin, devus vidi la diferencon skribe.
La limo, kiun vi pensas, ke vi starigis
Traduko ŝanĝas kion escepto kovras. Kiam pluraj VPN-klientoj aperas malantaŭ unu tradukita adreso, ekskludi tiun adreson liberigas ilin ĉiujn, kio estas multe pli larĝa ol la ununura trovaĵo, kiu komencis la esploron.
Kontrolu la efektivan limon anstataŭ la formularon, kiun vi plenigis, kaj registru la incidentan identigilon apud la regulo. Escepto sen kaŭzo fariĝas konstanta politiko, kaj la sekva revizianto neniel povas scii, ĉu ĝi ankoraŭ validas.
Retestu la operacion kaj la limon
Ripetu la saman sendanĝeran datumbazan operacion kaj konfirmu, ke la konekto kompletiĝas, poste konfirmu, ke nesrilataj detektoj ankoraŭ ekfunkcias en testo, kiu devus ekigi ilin. Restarigi konektecon estas unu akceptokriterio; konservi la celitan limon estas la alia.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Notu, kio estis esceptita, kial, kaj kiam revizii ĝin post la sekva subskriba ĝisdatigo aŭ aplikaĵa ĝisdatigo. Subpremado, kiu estas relegata laŭ horaro, estas inĝeniera decido; tiu, kiun neniu memoras, estas malrapida etendo de la fido-limo.