Kial VPN-regulo ne povas haltigi la alŝuton de unu dosiero
Atingi servon kaj regi, kiuj dosieroj forlasas ĝin, estas du postuloj. Metu la regulon tie, kie la dosiero estas videbla: retpoŝto, aplikaĵo aŭ finpunkta agento.
Malgranda teamo petas teleiron al siaj laborsistemoj kaj samspire petas, ke certaj aldonaĵoj ĉesu forlasi la firmaon. Ambaŭ petoj sonas kiel unu ŝanĝo de VPN. Ili estas du postuloj kun malsamaj devigaj punktoj, kaj regulo, kiu kontentigas la unuan, faras nenion por la dua. Komencu per nomado de la ago kaj la datumoj, poste elektu la komponanton, kiu povas vere vidi ilin.
Unu peto, du postuloj
La unua postulo temas pri atingeblo: kiuj uzantoj kaj aparatoj rajtas malfermi konekton al kiu servo. La dua temas pri konduto post kiam tiu konekto ekzistas: kiuj dokumentoj rajtas esti aldonitaj, algluitaj aŭ alŝutitaj. Tunelo agas sur la unua kaj estas laŭdezajne blinda al la dua.
Regado sur la IP-nivelo plusendas pakaĵojn. Ĝi ne analizas plurpartan alŝuton, ne ekzamenas PDF-on kaj ne decidas, ĉu kalkultabelo enhavas kontnumerojn. Atendi tion de ĝi ne estas agorda eraro; ĝi estas kategoria eraro.
Diru la postulon laŭte en tiu formo antaŭ ol serĉi produkton. «Uzantoj rajtas atingi la dosierportalon» kaj «uzantoj ne rajtas alŝuti klientlistojn al la dosierportalo» estas malsamaj frazoj, kaj nur la dua priskribas enhavpolitikon.
Elektu la komponanton, kiu povas vidi la dosieron
La devigo devas okazi tie, kie la dosiero estas legebla. Por retpoŝto tio kutime estas la retpoŝta platformo aŭ pordego, kiu jam pritraktas aldonaĵojn kaj povas taksi ilin antaŭ liverado. Por retumilaj alŝutoj al aprobita servo, la aplikaĵo mem povas esti la sola partio, kiu vidas la enhavon. Por administrata tekkomputilo, kiu kopias dosierojn al forpreneblaj medioj, finpunkta agento vidas la operacion.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Iuj komercaj teleir-pakaĵoj kunigas finpunktan agenton, retan regadon kaj modulon por malhelpi datumperdon. Tiuj komponantoj povas ja devigi enhavpolitikon, sed la kapablo apartenas al la modulo, ne al tunelado. Legu, kion la pakaĵo efektive enhavas, antaŭ ol promesi la rezulton.
La superrigardo de Purview pri malhelpo de datumperdo de Microsoft estas utila modelo por kompari: ĝi priskribas regulojn laŭ tipoj de sentemaj informoj, lokoj kaj agadoj. Tiu vortprovizo temas pri enhavo kaj agoj, ne pri IP-prefiksoj.
TLS pluvivas la tunelon, do planu por tio
La ĉifrado de la aplikaĵo estas intertraktata inter la kliento kaj la servo, kaj VPN-tunelo portas tiujn bajtojn sen malfermi ilin. Pordego sur la vojo do ne aŭtomate akiras la kapablon klasifiki aldonaĵon, kiom ajn de la itinero ĝi posedas.
Por ekzameni enhavon dum transporto vi bezonas komponanton, kiu finas TLS per fidinda atestilo, kio estas grava arkitektura decido kun propraj sekvoj por privateco kaj operacioj. Ĝi ne estas markobutono en la VPN-profilo. Klientoj devas fidi la ekzamenan atestilon, aplikaĵoj, kiuj fiksas atestilojn, rompiĝos, kaj la operatoro akiras la kapablon legi trafikon, kiun ĝi antaŭe ne povis. Tiuj estas la kialoj, kial ĉi tiu decido apartenas al sekurecposedanto, ne al tiu, kiu funkciigas la tunelon.
Tial la honesta respondo al «ĉu la VPN povas bloki ĉi tiun alŝuton» estas kutime ne, sekvata de konkreta alternativo. La alternativo povas esti limigoj sur aplikaĵa nivelo, retpoŝta regulo aŭ finpunkta politiko, kaj ĉiu el ili havas posedanton, kiu povas ŝanĝi ĝin.
Skribu la akceptan teston antaŭ la regulo
Enhavregulo bezonas du ekzemplojn, ne unu: permesitan agon, kiu devas daŭre funkcii, kaj malpermesitan agon, kiu devas esti haltigita. Testu ambaŭ el la aplikaĵoj kaj aparatoj en la amplekso, ĉar politiko, kiu funkcias nur en unu retumilo, ne estas la politiko, kiun iu petis.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadLa unuan peton devus rifuzi tiu komponanto, kiu posedas la regulon, kaj la dua devus sukcesi. Se ambaŭ sukcesas, la regado ne estas sur la vojo. Se ambaŭ malsukcesas, vi rompis la servon anstataŭ protekti ĝin, kio estas la pli ofta rezulto de regulo skribita sen permesita ekzemplo.
Decidu anticipe, kion la uzanto vidas, kiu povas doni escepton kaj kie administranto poste konfirmas la decidon. Blokita alŝuto sen mesaĝo produktas subtenan bileton, kaj regulo, kiun neniu povas revizii, produktas disputon. Ambaŭ estas eviteblaj per unu frazo de dokumentado skribita antaŭ ol la politiko ekvalidas.
Fine, tenu la du postulojn en apartaj biletoj kun apartaj posedantoj. Kunigi ilin sub «VPN» garantias, ke la retteamo estos petata solvi enhavproblemon, kaj ke la enhavproblemo estos deklarita solvita, kiam la tunelo ekfunkcios.