IPS blokeeris VPN-i kaudu andmebaasi: piiritlege erand
VPN ei vabasta sisemist andmebaasiliiklust kontrollist. Enne valimist võrrelge allkirja summutamist, allika välistamist ja kategooria keelamist.
Andmebaasiühendused VPN-i sees blokeeritakse endiselt IPS-i poolt, sündmuste logi nimetab põhjuse ja kiireim parandus näeb välja nagu erand. Enne seda pange tähele, mida tunnel tegelikult muudab. See kaitseb liiklust oma otspunktide vahel ja annab seejärel tavalised sisemised paketid sellele, mis kontrollib võrgu sisemust, mis on täpselt seal, kus allkiri rakendus. Tunnel ei ole vabastus ja tuvastus ei ole automaatselt vale.
Dekapsuleerimine on koht, kus kontroll jätkub
Tunnelist väljuv liiklus saabub tavaliste IP-pakettidena, mis on adresseeritud andmebaasi hostile. Iga sissetungi tõkestamise seade sellel teel hindab neid oma poliitika järgi, mistõttu ühendus, mis läbis krüpteeritud lingi, võib ikkagi langeda sisemise võrgu jaoks kirjutatud reegli alla.
Otsast-otsani TLS on selle nähtavuse piir. Kui klient kontrollib andmebaasi serveri sertifikaati, töötleb kontrollseade ühendust, kuid ei saa lugeda rakenduse sisu, mistõttu tuvastus seal vastab metaandmetele, mitte päringu tekstile. Jätke see detail tähelepanuta ja iga blokeeritud ühendus näib olevat sügavkontrolli tõend. Mõlemad faktid loevad: seade ei ole pime ja see ei loe ka kõike.
Tuvastus ei ole vaikimisi valepositiivne
Allkiri on mõeldud mustri tabamiseks ja oodatud ärikliiklus võib ikkagi läbida tõeliselt haavatava kooditee. Esmalt sobitage salvestatud sündmus rakenduse toiminguga: ajatempel, sisemine allikas ja sihtkoht, pordid, allkirja identifikaator ja võetud meede. Need kuus välja ütlevad ka, kas hoiatus kuulub ebaõnnestunud ühendusele või naabrile, kes juhtus hõivatud olema.
See, et mõned paketid serverini jõuavad, ei tee IPS-i põhjuseks, ja sobiv allkiri ei tõesta, et klient on seaduslik. Mõlemad tõlgendused on oletused, kuni sündmus korreleeritakse kliendi enda aruandega. Korreleeritud sündmus on tõend ja andmebaasi versioon on osa hinnangust.
Kolm erandiulatust ja mida igaüks eemaldab
Valikud erinevad selle poolest, kui palju kontrolli need välja lülitavad, ja erinevus on suurem, kui seade liides vihjab. Allkirja summutamine eemaldab ühe reegli liikluse jaoks, millega see sobib. Allika välistamine eemaldab kõige kontrolli sellelt aadressilt. Kategooria keelamine eemaldab reeglite perekonna, mõnikord kogu poliitikas.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Eelistage esimest rida alati, kui toode suudab seda väljendada. Kui ei suuda, eskaleerige piirang, selle asemel et esitada lai erand täpsena; selle kinnitaja peaks nägema erinevust kirjalikult.
Ulatus, mille te arvate olevat määranud
Tõlkimine muudab seda, mida erand katab. Kui ühe tõlgitud aadressi taga ilmub mitu VPN-klienti, vabastab selle aadressi välistamine nad kõik, mis on palju laiem kui üksik leid, mis uurimise algatas.
Kontrollige tegelikku ulatust, mitte vormi, mille täitsite, ja kirjutage juhtumi identifikaator reegli kõrvale. Põhjenduseta erand muutub püsivaks poliitikaks ja järgmisel ülevaatajal pole võimalust teada, kas see kehtib veel.
Testige toimingut ja piiri uuesti
Korrake sama kahjutut andmebaasitoimingut ja kinnitage, et ühendus lõpeb, seejärel kinnitage, et mitteseotud tuvastused käivituvad endiselt testis, mis peaks need esile kutsuma. Ühenduvuse taastamine on üks vastuvõtukriteerium; kavandatud piiri hoidmine on teine.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Kirjutage üles, mis jäeti välja, miks ja millal seda järgmise allkirja värskenduse või rakenduse uuenduse järel uuesti vaadata. Summutamine, mida loetakse graafiku järgi uuesti, on inseneriotsus; see, mida keegi ei mäleta, on usalduspiiri aeglane laienemine.