Miksi VPN-sääntö ei voi estää yhden tiedoston lataamista
Palveluun pääseminen ja sen hallitseminen, mitkä tiedostot lähtevät siitä, ovat kaksi vaatimusta. Aseta sääntö sinne, missä tiedosto on näkyvissä: sähköposti, sovellus tai päätepisteagentti.
Pieni tiimi pyytää etäyhteyttä työjärjestelmiinsä ja pyytää samalla henkäyksellä, että tietyt liitteet lakkaavat lähtemästä yrityksestä. Molemmat pyynnöt kuulostavat yhdeltä VPN-muutokselta. Ne ovat kaksi vaatimusta, joilla on eri täytäntöönpanopisteet, ja sääntö, joka täyttää ensimmäisen, ei tee toiselle mitään. Aloita nimeämällä toiminto ja data ja valitse sitten komponentti, joka voi todella nähdä ne.
Yksi pyyntö, kaksi vaatimusta
Ensimmäinen vaatimus koskee tavoitettavuutta: mitkä käyttäjät ja laitteet saavat avata yhteyden mihin palveluun. Toinen koskee käyttäytymistä sen jälkeen, kun yhteys on olemassa: mitkä asiakirjat saa liittää, liittää leikepöydältä tai ladata. Tunneli vaikuttaa ensimmäiseen ja on suunnittelultaan sokea toiselle.
IP-tason valvonta välittää paketteja. Se ei jäsennä moniosaista latausta, ei tarkasta PDF:ää eikä päätä, sisältääkö laskentataulukko tilinumeroita. Sen odottaminen ei ole kokoonpanovirhe; se on kategoriavirhe.
Sano vaatimus ääneen siinä muodossa ennen kuin etsit tuotetta. „Käyttäjät saavat päästä tiedostoporttiin“ ja „käyttäjät eivät saa ladata asiakasluetteloita tiedostoporttiin“ ovat eri lauseita, ja vain toinen kuvaa sisältökäytäntöä.
Valitse komponentti, joka näkee tiedoston
Täytäntöönpanon on tapahduttava siellä, missä tiedosto on luettavissa. Sähköpostin osalta se on yleensä sähköpostialusta tai yhdyskäytävä, joka jo käsittelee liitteitä ja voi arvioida ne ennen toimitusta. Selaimen latauksissa hyväksyttyyn palveluun itse sovellus voi olla ainoa osapuoli, joka näkee sisällön. Hallitun kannettavan tietokoneen kopioidessa tiedostoja siirrettäville tallennusvälineille päätepisteagentti näkee toiminnon.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Jotkin kaupalliset etäkäyttöpaketit yhdistävät päätepisteagentin, verkkohallinnan ja tietovuotojen estomoduulin. Nämä komponentit voivat panna sisältökäytäntöä täytäntöön, mutta kyky kuuluu moduulille, ei tunnelointiin. Lue, mitä paketti todella sisältää, ennen kuin lupaat tuloksen.
Microsoftin Purview-tietovuotojen eston yleiskatsaus on hyödyllinen vertailumalli: se kuvaa käytännöt arkaluontoisten tietotyyppien, sijaintien ja toimintojen avulla. Sanasto käsittelee sisältöä ja toimintoja, ei IP-etuliitteitä.
TLS selviää tunnelista, joten suunnittele se
Sovelluksen salaus neuvotellaan asiakkaan ja palvelun välillä, ja VPN-tunneli kuljettaa ne tavut avaamatta niitä. Polun yhdyskäytävä ei siis automaattisesti saa kykyä luokitella liitettä, kuinka suuren osan reitistä se omistaakin.
Jotta voisit tarkastaa sisältöä siirrossa, tarvitset komponentin, joka lopettaa TLS:n luotetulla varmenteella, ja se on merkittävä arkkitehtuuripäätös, jolla on omat yksityisyys- ja toimintavaikutuksensa. Se ei ole VPN-profiilin valintaruutu. Asiakkaiden on luotettava tarkastusvarmenteeseen, varmenteita kiinnittävät sovellukset hajoavat ja operaattori saa kyvyn lukea liikennettä, jota se ei aiemmin pystynyt lukemaan. Nämä ovat syyt siihen, miksi päätös kuuluu turvallisuusomistajalle eikä sille, joka pyörittää tunnelia.
Siksi rehellinen vastaus kysymykseen „voiko VPN estää tämän latauksen“ on yleensä ei, ja sitä seuraa konkreettinen vaihtoehto. Vaihtoehto voi olla sovellustason rajoitukset, sähköpostisääntö tai päätepistekäytäntö, ja jokaisella niistä on omistaja, joka voi muuttaa sitä.
Kirjoita hyväksymistesti ennen sääntöä
Sisältösääntö tarvitsee kaksi esimerkkiä, ei yhtä: sallittu toiminto, jonka on jatkettava toimimista, ja kielletty toiminto, joka on pysäytettävä. Testaa molemmat sovelluksista ja laitteista, jotka ovat laajuudessa, koska käytäntö, joka toimii vain yhdessä selaimessa, ei ole käytäntö, jota kukaan pyysi.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadEnsimmäisen pyynnön pitäisi hylätä sen komponentin, joka omistaa säännön, ja toisen pitäisi onnistua. Jos molemmat onnistuvat, valvonta ei ole polussa. Jos molemmat epäonnistuvat, olet rikkonut palvelun sen sijaan että olisit suojannut sitä, mikä on yleisempi tulos säännöstä, joka on kirjoitettu ilman sallittua esimerkkiä.
Päätä etukäteen, mitä käyttäjä näkee, kuka voi myöntää poikkeuksen ja missä ylläpitäjä vahvistaa päätöksen jälkeenpäin. Estetty lataus ilman viestiä tuottaa tukipalvelupyynnön, ja sääntö, jota kukaan ei voi auditoida, tuottaa väittelyn. Molemmat voidaan välttää yhdellä lauseella dokumentaatiota, joka kirjoitetaan ennen käytännön voimaantuloa.
Lopuksi pidä kaksi vaatimusta erillisissä tiketeissä erillisine omistajineen. Niiden kokoaminen „VPN“-otsikon alle takaa, että verkostotiimiä pyydetään ratkaisemaan sisältöongelma ja että sisältöongelma julistetaan ratkaistuksi, kun tunneli nousee.