IPS یک پایگاه داده را از طریق VPN مسدود کرد: دامنه استثنا را تعیین کنید
VPN ترافیک داخلی پایگاه داده را از بازرسی معاف نمی‌کند. پیش از انتخاب، سرکوب امضا، حذف مبدأ و غیرفعال‌سازی دسته را مقایسه کنید.
اتصال‌های پایگاه داده درون یک VPN هنوز توسط IPS مسدود می‌شوند، گزارش رویداد علت را نام می‌برد، و سریع‌ترین ترمیم شبیه یک استثنا به نظر می‌رسد. پیش از آن، توجه کنید که تونل واقعاً چه چیزی را تغییر می‌دهد. این تونل ترافیک میان دو سر خود را محافظت می‌کند و سپس بسته‌های داخلی ساده را به هر چیزی که درون شبکه را بازرسی می‌کند تحویل می‌دهد، که دقیقاً همان جایی است که امضا فعال شد. تونل یک معافیت نیست، و تشخیص به‌طور خودکار اشتباه نیست.
کپسول‌گشایی نقطه‌ای است که بازرسی از آنجا از سر گرفته می‌شود
ترافیکی که از تونل خارج می‌شود به‌صورت بسته‌های IP معمولی خطاب‌شده به میزبان پایگاه داده می‌رسد. هر دستگاه جلوگیری از نفوذ در آن مسیر آن‌ها را بر اساس سیاست خود ارزیابی می‌کند، و به همین دلیل اتصالی که از یک پیوند رمزنگاری‌شده گذشته است هنوز می‌تواند با قاعده‌ای که برای شبکه داخلی نوشته شده حذف شود.
TLS سرتاسری محدودیت آن دید است. وقتی مشتری گواهی سرور پایگاه داده را بررسی می‌کند، دستگاه بازرسی اتصال را پردازش می‌کند اما نمی‌تواند محتوای برنامه را بخواند، بنابراین تشخیص در آنجا با فراداده مطابقت دارد نه با متن پرس‌وجو. این جزئیات را نادیده بگیرید و هر اتصال مسدودشده مانند اثبات بازرسی عمیق به نظر می‌رسد. هر دو واقعیت مهم‌اند: دستگاه نابینا نیست، و همه چیز را هم نمی‌خواند.
تشخیص به‌طور پیش‌فرض مثبت کاذب نیست
امضا برای گرفتن یک الگو وجود دارد، و ترافیک تجاری مورد انتظار هنوز می‌تواند مسیر کدی واقعاً آسیب‌پذیر را طی کند. نخست رویداد ثبت‌شده را با عملیات برنامه تطبیق دهید: زمان، مبدأ و مقصد داخلی، درگاه‌ها، شناسه امضا و اقدام انجام‌شده. این شش فیلد همچنین می‌گویند هشدار به اتصال شکست‌خورده تعلق دارد یا به همسایه‌ای که تصادفاً مشغول بوده است.
رسیدن چند بسته به سرور IPS را به‌عنوان علت مشخص نمی‌کند، و امضای منطبق ثابت نمی‌کند که مشتری مشروع است. هر دو خوانش تا زمانی که رویداد با گزارش خود مشتری همبسته نشود، حدس است. رویداد همبسته‌شده شواهد است، و نسخه پایگاه داده بخشی از داوری است.
سه دامنه استثنا و آنچه هر یک حذف می‌کند
گزینه‌ها در میزان بازرسی که خاموش می‌کنند متفاوت‌اند، و تفاوت از آنچه رابط تنظیم نشان می‌دهد بزرگ‌تر است. سرکوب امضا یک قاعده را برای ترافیکی که با آن مطابقت دارد حذف می‌کند. حذف مبدأ بازرسی همه چیز از آن نشانی را حذف می‌کند. غیرفعال‌سازی یک دسته خانواده‌ای از قواعد را حذف می‌کند، گاهی در کل سیاست.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
هر زمان که محصول می‌تواند آن را بیان کند، ردیف اول را ترجیح دهید. وقتی نمی‌تواند، محدودیت را تشدید کنید نه اینکه یک استثنای گسترده را دقیق جلوه دهید؛ کسی که آن را تأیید می‌کند باید تفاوت را مکتوب ببیند.
دامنه‌ای که فکر می‌کنید تعیین کرده‌اید
ترجمه تغییر می‌دهد که یک استثنا چه چیزی را پوشش می‌دهد. وقتی چند مشتری VPN پشت یک نشانی ترجمه‌شده ظاهر می‌شوند، حذف آن نشانی همه آن‌ها را معاف می‌کند، که بسیار گسترده‌تر از یافته واحدی است که تحقیق را آغاز کرد.
دامنه مؤثر را بررسی کنید نه فرمی را که پر کرده‌اید، و شناسه حادثه را کنار قاعده ثبت کنید. استثنا بدون دلیل به سیاست دائمی تبدیل می‌شود، و بازبین بعدی هیچ راهی ندارد بداند آیا هنوز اعمال می‌شود.
عملیات و مرز را دوباره آزمایش کنید
همان عملیات بی‌ضرر پایگاه داده را تکرار کنید و تأیید کنید اتصال کامل می‌شود، سپس تأیید کنید که تشخیص‌های نامرتبط هنوز در آزمایشی که باید آن‌ها را فعال کند، فعال می‌شوند. بازگرداندن اتصال یک معیار پذیرش است؛ حفظ مرز مورد نظر معیار دیگر.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"بنویسید چه چیزی استثنا شد، چرا، و چه زمانی پس از به‌روزرسانی بعدی امضا یا ارتقای برنامه بازبینی شود. سرکوبی که طبق زمان‌بندی دوباره خوانده می‌شود یک تصمیم مهندسی است؛ آنکه هیچ‌کس به یاد ندارد، گسترش آهسته مرز اعتماد است.