O IPS bloqueou unha base de datos a través de VPN: delimite a excepción
Unha VPN non exime o tráfico interno da base de datos da inspección. Compare a supresión de sinaturas, a exclusión de orixe e a desactivación de categorías antes de elixir.
As conexións á base de datos dentro dunha VPN seguen sendo bloqueadas polo IPS, o rexistro de eventos nomea a causa, e a reparación máis rápida parece unha exclusión. Antes diso, fixe o que cambia realmente o túnel. Protexe o tráfico entre os seus extremos e despois entrega paquetes internos simples a aquilo que inspecciona o interior da rede, que é exactamente onde se disparou a sinatura. O túnel non é unha exención, e a detección non é automaticamente errónea.
A desencapsulación é onde se retoma a inspección
O tráfico que sae dun túnel chega como paquetes IP ordinarios dirixidos ao host da base de datos. Calquera dispositivo de prevención de intrusións nesa ruta avalíaos segundo a súa propia política, polo que unha conexión que cruzou unha ligazón cifrada aínda pode ser descartada por unha regra escrita para a rede interna.
O TLS de extremo a extremo é o límite desa visibilidade. Cando o cliente verifica o certificado do servidor da base de datos, o dispositivo de inspección procesa a conexión pero non pode ler a carga da aplicación, así que unha detección alí coincide con metadatos en lugar do texto da consulta. Omita ese detalle e cada conexión bloqueada parecerá proba de inspección profunda. Ambos feitos importan: o dispositivo non está cego, e tampouco o le todo.
Unha detección non é un falso positivo por defecto
A sinatura existe para atrapar un patrón, e o tráfico de negocio esperado aínda pode percorrer unha ruta de código realmente vulnerable. Primeiro faga coincidir o evento rexistrado coa operación da aplicación: marca de tempo, orixe e destino internos, portos, identificador da sinatura e a acción tomada. Eses seis campos tamén lle din se a alerta pertence á conexión que fallou ou a un veciño que casualmente estaba ocupado.
Que uns poucos paquetes cheguen ao servidor non identifica o IPS como a causa, e unha sinatura coincidente non demostra que o cliente sexa lexítimo. Ambas as lecturas son conxecturas ata que o evento se correlaciona co informe do propio cliente. O evento correlacionado é a evidencia, e a versión da base de datos forma parte do xuízo.
Tres ámbitos de excepción e que elimina cada un
As opcións difiren en canta inspección desactivan, e a diferenza é maior do que suxire a interface do axuste. A supresión de sinaturas elimina unha regra para o tráfico que coincide. A exclusión de orixe elimina a inspección de todo o que veña dese enderezo. Desactivar unha categoría elimina unha familia de regras, ás veces en toda a política.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Preferir a primeira fila sempre que o produto poida expresala. Cando non poida, escale a limitación en lugar de presentar unha exclusión ampla como unha precisa; quen a aproba debería ver a diferenza por escrito.
O ámbito que cre que estableceu
A tradución cambia o que cobre unha exclusión. Cando varios clientes VPN aparecen detrás dun enderezo traducido, excluír ese enderezo exímeos a todos, o que é moito máis amplo que o achado único que iniciou a investigación.
Comprobe o ámbito efectivo en lugar do formulario que encheu, e anote o identificador do incidente xunto á regra. Unha exclusión sen motivo convértese en política permanente, e o seguinte revisor non ten forma de saber se aínda se aplica.
Volva probar a operación e o límite
Repita a mesma operación inocua da base de datos e confirme que a conexión se completa, despois confirme que as deteccións non relacionadas aínda se disparan nunha proba que debería activalas. Restaurar a conectividade é un criterio de aceptación; manter o límite previsto é o outro.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Anote que se exceptuou, por que e cando revisalo tras a próxima actualización de sinaturas ou mellora da aplicación. Unha supresión que se relé segundo un calendario é unha decisión de enxeñaría; unha que ninguén lembra é unha expansión lenta do límite de confianza.