L’IPS a bloqué une base de données via un VPN : délimiter l’exception
Un VPN n’exempte pas le trafic interne de la base de données de l’inspection. Comparez la suppression de signature, l’exclusion de source et la désactivation de catégorie avant de choisir.
Les connexions à la base de données à l’intérieur d’un VPN sont toujours bloquées par l’IPS, le journal des événements nomme la cause, et la réparation la plus rapide ressemble à une exclusion. Avant cela, notez ce que le tunnel change réellement. Il protège le trafic entre ses extrémités, puis remet des paquets internes bruts à ce qui inspecte l’intérieur du réseau, qui est exactement là où la signature s’est déclenchée. Le tunnel n’est pas une exemption, et la détection n’est pas automatiquement erronée.
La décapsulation est là où l’inspection reprend
Le trafic qui quitte un tunnel arrive sous forme de paquets IP ordinaires adressés à l’hôte de la base de données. Tout dispositif de prévention d’intrusion sur ce chemin les évalue selon sa propre politique, ce qui explique pourquoi une connexion qui a traversé un lien chiffré peut encore être rejetée par une règle écrite pour le réseau interne.
Le TLS de bout en bout est la limite de cette visibilité. Lorsque le client vérifie le certificat du serveur de base de données, le dispositif d’inspection traite la connexion mais ne peut pas lire la charge utile de l’application, si bien qu’une détection y correspond aux métadonnées plutôt qu’au texte de la requête. Ignorez ce détail et chaque connexion bloquée ressemblera à une preuve d’inspection approfondie. Les deux faits comptent : le dispositif n’est pas aveugle, et il ne lit pas tout non plus.
Une détection n’est pas un faux positif par défaut
La signature existe pour attraper un motif, et le trafic métier attendu peut encore emprunter un chemin de code réellement vulnérable. Faites d’abord correspondre l’événement enregistré à l’opération de l’application : horodatage, source et destination internes, ports, identifiant de signature et action prise. Ces six champs vous disent aussi si l’alerte appartient à la connexion qui a échoué ou à un voisin qui se trouvait occupé.
L’arrivée de quelques paquets au serveur n’identifie pas l’IPS comme la cause, et une signature concordante ne prouve pas que le client est légitime. Les deux lectures restent des suppositions tant que l’événement n’est pas corrélé au rapport du client lui-même. L’événement corrélé est la preuve, et la version de la base de données fait partie du jugement.
Trois portées d’exception et ce que chacune supprime
Les options diffèrent par la quantité d’inspection qu’elles désactivent, et la différence est plus grande que ne le suggère l’interface du réglage. La suppression de signature retire une règle pour le trafic qu’elle correspond. L’exclusion de source retire l’inspection de tout ce qui vient de cette adresse. La désactivation d’une catégorie retire une famille de règles, parfois sur toute la politique.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Préférez la première ligne chaque fois que le produit peut l’exprimer. Quand il ne peut pas, escaladez la limitation au lieu de présenter une exclusion large comme précise ; la personne qui l’approuve devrait voir la différence par écrit.
La portée que vous croyez avoir définie
La traduction change ce qu’une exclusion couvre. Lorsque plusieurs clients VPN apparaissent derrière une adresse traduite, exclure cette adresse les exempte tous, ce qui est bien plus large que la constatation unique qui a lancé l’enquête.
Vérifiez la portée effective plutôt que le formulaire que vous avez rempli, et consignez l’identifiant de l’incident à côté de la règle. Une exclusion sans motif devient une politique permanente, et le prochain relecteur n’a aucun moyen de savoir si elle s’applique encore.
Retestez l’opération et la frontière
Répétez la même opération inoffensive sur la base de données et confirmez que la connexion aboutit, puis confirmez que des détections sans rapport se déclenchent encore lors d’un test censé les provoquer. Rétablir la connectivité est un critère d’acceptation ; conserver la frontière prévue est l’autre.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Notez ce qui a été excepté, pourquoi, et quand le revoir après la prochaine mise à jour de signature ou montée de version de l’application. Une suppression relue selon un calendrier est une décision d’ingénierie ; celle dont personne ne se souvient est une lente extension de la frontière de confiance.