Miks VPN-i reegel ei suuda ühe faili üleslaadimist peatada
Teenusesse jõudmine ja selle kontrollimine, millised failid sealt väljuvad, on kaks nõuet. Pane reegel sinna, kus fail on nähtav: e-post, rakendus või lõpp-punkti agent.
Väike meeskond palub kaugjuurdepääsu oma töösüsteemidele ja palub samas hingetõmbes, et teatud manused lakkaksid ettevõttest lahkumast. Mõlemad soovid kõlavad nagu üks VPN-i muudatus. Need on kaks nõuet erinevate jõustamispunktidega ja reegel, mis rahuldab esimest, ei tee teise jaoks midagi. Alusta tegevuse ja andmete nimetamisega ning vali seejärel komponent, mis suudab neid tegelikult näha.
Üks taotlus, kaks nõuet
Esimene nõue puudutab kättesaadavust: millised kasutajad ja seadmed tohivad avada ühenduse millise teenusega. Teine puudutab käitumist pärast seda, kui see ühendus on olemas: milliseid dokumente tohib manustada, kleepida või üles laadida. Tunnel mõjutab esimest ja on konstruktsiooni tõttu teise suhtes pime.
IP-tasandi kontroll edastab pakette. See ei analüüsi mitmeosalis üleslaadimist, ei kontrolli PDF-i ega otsusta, kas tabel sisaldab kontonumbreid. Seda temalt oodata ei ole konfiguratsiooniviga; see on kategooriaviga.
Ütle nõue sellises vormis valjusti välja enne, kui hakkad toodet otsima. „Kasutajad tohivad failiportaali jõuda“ ja „kasutajad ei tohi kliendinimekirju failiportaali üles laadida“ on erinevad laused ja ainult teine kirjeldab sisupoliitikat.
Vali komponent, mis suudab faili näha
Jõustamine peab toimuma seal, kus fail on loetav. E-posti puhul on selleks tavaliselt postiplatvorm või lüüs, mis juba käsitleb manuseid ja suudab neid enne kohaletoimetamist hinnata. Brauserist heakskiidetud teenusesse üleslaadimise puhul võib rakendus ise olla ainus osapool, kes sisu näeb. Hallatava sülearvuti puhul, mis kopeerib faile eemaldatavale kandjale, näeb toimingut lõpp-punkti agent.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Mõned kommertsiaalsed kaugjuurdepääsupaketid koondavad lõpp-punkti agendi, veebikontrolli ja andmekao tõkestamise mooduli. Need komponendid võivad sisupoliitikat jõustada, kuid võimekus kuulub moodulile, mitte tunneldamisele. Loe, mida pakett tegelikult sisaldab, enne kui tulemuse lubaduse annad.
Microsofti Purview andmekao tõkestamise ülevaade on kasulik võrdlusalus: see kirjeldab poliitikaid tundliku teabe tüüpide, asukohtade ja tegevuste kaudu. See sõnavara räägib sisust ja tegevustest, mitte IP-prefiksitest.
TLS elab tunnelist üle, seega arvesta sellega
Rakenduse krüpteerimine lepitakse kokku kliendi ja teenuse vahel ning VPN-tunnel kannab need baidid ilma neid avamata. Seetõttu ei saa tee peal olev lüüs automaatselt võimet manust klassifitseerida, ükskõik kui suurt osa marsruudist ta ka omab.
Et sisu teel kontrollida, on vaja komponenti, mis lõpetab TLS-i usaldusväärse sertifikaadiga, ja see on märkimisväärne arhitektuuriline otsus, millel on omad privaatsus- ja operatiivsed tagajärjed. See ei ole VPN-profiili märkeruut. Kliendid peavad kontrollsertifikaati usaldama, sertifikaate kinnitavad rakendused lähevad katki ja operaator saab võimaluse lugeda liiklust, mida ta varem ei saanud. Need on põhjused, miks see otsus kuulub turbeomanikule, mitte sellele, kes tunnelit haldab.
Seetõttu on aus vastus küsimusele „kas VPN saab selle üleslaadimise blokeerida“ tavaliselt ei, millele järgneb konkreetne alternatiiv. Alternatiiviks võivad olla rakendustasandi piirangud, e-posti reegel või lõpp-punkti poliitika, ja igaühel neist on omanik, kes saab seda muuta.
Kirjuta vastuvõtutest enne reeglit
Sisureegel vajab kahte näidet, mitte ühte: lubatud tegevust, mis peab edasi toimima, ja keelatud tegevust, mis tuleb peatada. Testi mõlemat rakendustest ja seadmetest, mis on ulatuses, sest poliitika, mis töötab ainult ühes brauseris, ei ole poliitika, mida keegi palus.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadEsimese taotluse peaks tagasi lükkama see komponent, kellele reegel kuulub, ja teine peaks õnnestuma. Kui mõlemad õnnestuvad, ei ole kontroll tee peal. Kui mõlemad ebaõnnestuvad, oled teenuse katki teinud, mitte seda kaitsnud, mis on tavalisem tulemus reeglist, mis on kirjutatud ilma lubatud näiteta.
Otsusta ette, mida kasutaja näeb, kes saab erandi anda ja kus administraator otsuse hiljem kinnitab. Blokeeritud üleslaadimine ilma sõnumita tekitab tugipileti ja reegel, mida keegi auditeerida ei saa, tekitab vaidluse. Mõlemat saab vältida ühe lausega dokumentatsiooni, mis on kirjutatud enne poliitika jõustumist.
Lõpuks hoia kahte nõuet eraldi piletitel eraldi omanikega. Nende koondamine „VPN“ alla tagab, et võrgumeeskonnalt küsitakse sisuprobleemi lahendamist ja et sisuprobleem kuulutatakse lahendatuks, kui tunnel püsti tõuseb.