IPS blokkearre in databank oer VPN: behein de útsûndering
In VPN ûntslacht it ynterne databankferkear net fan ynspeksje. Ferlykje ûnderdrukking fan hantekeningen, útsluting fan boarne en it útskeakeljen fan in kategory foardat jo kieze.
Databankferbiningen binnen in VPN wurde noch altyd blokkearre troch de IPS, it barrenloch neamt de oarsaak, en de fluchste reparaasje liket in útsûndering. Foarôf, merkl op wat de tunnel eins feroaret. Hy beskermet ferkear tusken syn einpunten en jout dan gewoane ynterne pakketten oan wat de binnenkant fan it netwurk ynspektearret, krekt dêr’t de hantekening ôfgie. De tunnel is gjin ûntheffing, en de deteksje is net automatysk ferkeard.
Dekapsulaasje is wêr’t de ynspeksje wer begjint
Ferkear dat in tunnel ferlitet komt oan as gewoane IP-pakketten rjochte op de databankhost. Elk apparaat foar ynbrekkenprevinsje op dat paad beoardielet se neffens syn eigen belied, en dêrom kin in ferbining dy’t in fersifere keppeling krúst hat noch altyd troch in regel skreaun foar it ynterne netwurk weilitten wurde.
End-to-end TLS is de grins fan dy sichtberens. As de kliïnt it sertifikaat fan de databankserver ferifiearret, ferwurket it ynspeksje-apparaat de ferbining mar kin it de applikaasjelading net lêze, dat in deteksje dêr oerienkomt mei metadata ynstee fan querytekst. Ferjit dat detail en elke blokkearre ferbining liket in bewiis fan djippe ynspeksje. Beide feiten binne fan belang: it apparaat is net blyn, en it lêst ek net alles.
In deteksje is net standert in falsk posityf
De hantekening bestiet om in patroan te fangen, en ferwachte saaklike ferkear kin noch altyd in wier kwetsber kodepaad trochrinne. Keppelje earst it registrearre barren oan de applikaasje-operaasje: tiidstimpel, ynterne boarne en bestimmeling, poarten, hantekeningidentifikaasje en de nommen aksje. Dy seis fjilden fertelle jo ek oft it alarm by de ferbining heart dy’t mislearre of by in buorman dy’t tafallich drok wie.
It feit dat in pear pakketten de server berikke, wiist de IPS net as oarsaak oan, en in oerienkommende hantekening bewiist net dat de kliïnt legit is. Beide readings binne gissingen oant it barren korrelearre is mei it eigen rapport fan de kliïnt. It korrelearre barren is it bewiis, en de databankferzje is diel fan it oardiel.
Trije útsûnderingsomfangen en wat elk fuorthellet
De opsjes ferskille yn hoefolle ynspeksje se útskeakelje, en it ferskil is grutter as de ynterface fan de ynstelling suggerearret. Underdrukking fan in hantekening hellet ien regel fuort foar it ferkear dat it oerienkomt. Útsluting fan in boarne hellet ynspeksje fan alles fan dat adres fuort. It útskeakeljen fan in kategory hellet in famylje regels fuort, soms oer it hiele belied.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Ferkenearje de earste rige as it produkt it útdrukke kin. As it dat net kin, eskaleartsje de beheining ynstee fan in brede útsûndering as in presize te presintearjen; dejinge dy’t it goedkart moat it ferskil skriftlik sjen.
It omfang dat jo tinke dat jo ynsteld hawwe
Oersetten feroaret wat in útsûndering dekt. As ferskate VPN-kliïnten efter ien oersetten adres ferskine, ûntslacht it útsluten fan dat adres se allegear, wat folle breder is as de iene fynst dy’t it ûndersyk begon.
Kontrolearje it effektive omfang ynstee fan it formulier dat jo ynfolle hawwe, en registrearje de barrenidentifikaasje njonken de regel. In útsûndering sûnder reden wurdt permanint belied, en de folgjende beoardieler hat gjin manier om te witten oft it noch jildt.
Test de operaasje en de grins opnij
Werhelje deselde ûnskealike databankoperaasje en befêstigje dat de ferbining foltôget, befêstigje dan dat net-relatearre deteksjes noch altyd ôfgeane yn in test dy’t se triggje moat. It werstellen fan ferbining is ien akseptaasjekriterium; it behâlden fan de bedoelde grins is it oare.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Skriuw op wat útsletten is, wêrom, en wannear’t it opnij besjoen wurde moat nei de folgjende hantekeningupdate of applikaasje-opwurdearring. In ûnderdrukking dy’t neffens in skema opnij lêzen wurdt is in yngenieursbeslút; ien dy’t nimmen ûnthâldt is in stadige útwreiding fan de fertrouwensgrins.