IPS esti tietokannan VPN:n yli: rajatkaa poikkeus
VPN ei vapauta sisäistä tietokantaliikennettä tarkastuksesta. Vertaa allekirjoituksen vaimentamista, lähteen poissulkemista ja luokan poistamista käytöstä ennen valintaa.
VPN:n sisäiset tietokantayhteydet estetään edelleen IPS:n toimesta, tapahtumaloki kertoo syyn, ja nopein korjaus näyttää poikkeukselta. Sitä ennen huomatkaa, mitä tunneli todella muuttaa. Se suojaa liikennettä päätepisteidensä välillä ja luovuttaa sitten tavalliset sisäiset paketit sille, mikä tarkastaa verkon sisäosaa, ja juuri siellä allekirjoitus laukesi. Tunneli ei ole vapautus, eikä havainto ole automaattisesti väärä.
Dekapselointi on kohta, jossa tarkastus jatkuu
Tunnelista lähtevä liikenne saapuu tavallisina IP-paketteina, jotka on osoitettu tietokannan isännälle. Mikä tahansa tunkeutumisen estolaite tällä polulla arvioi ne oman käytäntönsä mukaan, minkä vuoksi salatun linkin ylittänyt yhteys voi silti pudota sisäverkolle kirjoitetun säännön takia.
Päästä päähän -TLS on tuon näkyvyyden raja. Kun asiakas varmistaa tietokantapalvelimen varmenteen, tarkastuslaite käsittelee yhteyden mutta ei voi lukea sovelluksen hyötykuormaa, joten havainto siinä vastaa metatietoja eikä kyselyn tekstiä. Sivuuttakaa tämä yksityiskohta, ja jokainen estetty yhteys näyttää todisteelta syvästä tarkastuksesta. Molemmat tosiasiat merkitsevät: laite ei ole sokea, eikä se myöskään lue kaikkea.
Havainto ei ole oletuksena väärä positiivinen
Allekirjoitus on olemassa kuvion kiinni saamiseksi, ja odotettu liiketoimintaliikenne voi silti kulkea aidosti haavoittuvaa koodipolkua. Kohdista ensin kirjattu tapahtuma sovelluksen toimintoon: aikaleima, sisäinen lähde ja kohde, portit, allekirjoituksen tunniste ja toteutettu toimenpide. Nämä kuusi kenttää kertovat myös, kuuluuko hälytys epäonnistuneelle yhteydelle vai naapurille, joka sattui olemaan varattu.
Muutaman paketin saapuminen palvelimelle ei osoita IPS:ää syyksi, eikä täsmäävä allekirjoitus todista asiakkaan olevan laillinen. Molemmat tulkinnat ovat arvauksia, kunnes tapahtuma korreloidaan asiakkaan omaan raporttiin. Korreloitu tapahtuma on todiste, ja tietokannan versio on osa arviota.
Kolme poikkeuksen laajuutta ja mitä kukin poistaa
Vaihtoehdot eroavat siinä, kuinka paljon tarkastusta ne kytkevät pois, ja ero on suurempi kuin asetuksen käyttöliittymä antaa ymmärtää. Allekirjoituksen vaimentaminen poistaa yhden säännön liikenteelle, johon se sopii. Lähteen poissulkeminen poistaa kaiken tarkastuksen kyseisestä osoitteesta. Luokan poistaminen käytöstä poistaa sääntöperheen, joskus koko käytännössä.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Suosi ensimmäistä riviä aina, kun tuote pystyy ilmaisemaan sen. Kun ei pysty, eskaloi rajoitus sen sijaan, että esittäisit laajan poikkeuksen täsmällisenä; sen hyväksyjän pitäisi nähdä ero kirjallisesti.
Laajuus, jonka luulet asettaneesi
Kääntäminen muuttaa sitä, mitä poikkeus kattaa. Kun useita VPN-asiakkaita ilmestyy yhden käännetyn osoitteen taakse, kyseisen osoitteen poissulkeminen vapauttaa heidät kaikki, mikä on paljon laajempaa kuin tutkinnan aloittanut yksittäinen löydös.
Tarkista tehokas laajuus sen sijaan, että katsot täyttämääsi lomaketta, ja kirjaa tapauksen tunniste säännön viereen. Ilman perustetta oleva poikkeus muuttuu pysyväksi käytännöksi, eikä seuraava arvioija voi tietää, sovelletaanko sitä yhä.
Testaa toiminto ja raja uudelleen
Toista sama vaaraton tietokantatoiminto ja varmista, että yhteys valmistuu, ja varmista sitten, että liittymättömät havainnot laukeavat edelleen testissä, jonka pitäisi ne laukaista. Yhteyden palauttaminen on yksi hyväksymiskriteeri; aiotun rajan säilyttäminen on toinen.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Kirjoita muistiin, mitä vapautettiin, miksi ja milloin se tarkastetaan uudelleen seuraavan allekirjoituspäivityksen tai sovelluspäivityksen jälkeen. Aikataulun mukaan uudelleen luettava vaimentaminen on insinööripäätös; se, jota kukaan ei muista, on luottamusrajan hidas laajeneminen.