IPS חסם מסד נתונים דרך VPN: תחימו את החריגה
VPN אינו פוטר תעבורה פנימית של מסד נתונים מבדיקה. השוו דיכוי חתימות, החרגת מקור והשבתת קטגוריה לפני שתבחרו.
חיבורים למסד נתונים בתוך VPN עדיין נחסמים על ידי IPS, יומן האירועים נוקב בסיבה, והתיקון המהיר ביותר נראה כמו חריגה. לפני כן, שימו לב למה המנהרה באמת משנה. היא מגנה על תעבורה בין נקודות הקצה שלה ואז מוסרת מנות פנימיות רגילות למה שבודק את פנים הרשת, וזה בדיוק המקום שבו החתימה הופעלה. המנהרה אינה פטור, והזיהוי אינו שגוי אוטומטית.
דה־קפסולציה היא המקום שבו הבדיקה מתחדשת
תעבורה היוצאת ממנהרה מגיעה כמנות IP רגילות המופנות למארח מסד הנתונים. כל התקן למניעת חדירות בדרך הזו מעריך אותן לפי המדיניות שלו, ולכן חיבור שחצה קישור מוצפן עדיין יכול להיפסל על ידי כלל שנכתב לרשת הפנימית.
TLS מקצה לקצה הוא הגבול של הנראות הזו. כשהלקוח מאמת את התעודה של שרת מסד הנתונים, התקן הבדיקה מעבד את החיבור אך אינו יכול לקרוא את מטען היישום, ולכן זיהוי שם תואם מטא־נתונים ולא טקסט שאילתה. דלגו על הפרט הזה וכל חיבור חסום ייראה כהוכחה לבדיקה עמוקה. שתי העובדות חשובות: ההתקן אינו עיוור, והוא גם לא קורא הכול.
זיהוי אינו חיובי שגוי כברירת מחדל
החתימה קיימת כדי לתפוס דפוס, ותעבורה עסקית צפויה עדיין יכולה לעבור בנתיב קוד פגיע באמת. התאימו תחילה את האירוע שנרשם לפעולת היישום: חותמת זמן, מקור ויעד פנימיים, יציאות, מזהה חתימה והפעולה שננקטה. ששת השדות האלה גם אומרים לכם אם ההתראה שייכת לחיבור שנכשל או לשכן שבמקרה היה עסוק.
הגעה של כמה מנות לשרת אינה מזהה את ה־IPS כסיבה, וחתימה תואמת אינה מוכיחה שהלקוח לגיטימי. שתי הקריאות הן ניחושים עד שהאירוע יותאם לדוח של הלקוח עצמו. האירוע המותאם הוא הראיה, וגרסת מסד הנתונים היא חלק מהשיפוט.
שלושה היקפי חריגה ומה כל אחד מסיר
האפשרויות נבדלות בכמות הבדיקה שהן מכבות, וההבדל גדול ממה שממשק ההגדרה מרמז. דיכוי חתימה מסיר כלל אחד עבור התעבורה שהוא מתאים לה. החרגת מקור מסירה בדיקה של כל מה שמגיע מהכתובת הזו. השבתת קטגוריה מסירה משפחה של כללים, לעתים בכל המדיניות.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
העדיפו את השורה הראשונה בכל פעם שהמוצר יכול לבטא אותה. כשהוא אינו יכול, הסלימו את המגבלה במקום להציג חריגה רחבה כמדויקת; האדם שמאשר אותה צריך לראות את ההבדל בכתב.
ההיקף שאתם חושבים שקבעתם
תרגום משנה מה חריגה מכסה. כשכמה לקוחות VPN מופיעים מאחורי כתובת מתורגמת אחת, החרגת הכתובת הזו פוטרת את כולם, וזה רחב בהרבה מהממצא הבודד שהתחיל את החקירה.
בדקו את ההיקף האפקטיבי ולא את הטופס שמילאתם, ורשמו את מזהה האירוע לצד הכלל. חריגה בלי סיבה הופכת למדיניות קבועה, ולסוקר הבא אין דרך לדעת אם היא עדיין חלה.
בדקו מחדש את הפעולה ואת הגבול
חזרו על אותה פעולת מסד נתונים בלתי מזיקה ואשרו שהחיבור מסתיים, ואז אשרו שזיהויים לא קשורים עדיין נורים בבדיקה שאמורה להפעיל אותם. החזרת הקישוריות היא קריטריון קבלה אחד; שמירת הגבול המיועד הוא האחר.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"רשמו מה הוחרג, מדוע, ומתי לחזור על כך לאחר עדכון החתימות או שדרוג היישום הבא. דיכוי שנקרא מחדש לפי לוח זמנים הוא החלטה הנדסית; אחד שאיש אינו זוכר הוא התרחבות איטית של גבול האמון.