מה ששער VPN של העבודה יכול לראות על המקום שבו אתה נמצא

הכתובת שדף אינטרנט רואה לאחר שהתחברת ל-VPN של העבודה אינה הכתובת שהשער של העבודה ראה כשהתחברת. השער מקבל מנהרה נכנסת מכל רשת שהמחשב הנייד שלך נמצא בה, והמקור הזה גלוי לו לפני שקיימת בכלל תעבורה שעוברת במנהרה. העובדה שהדפדפן מדווח לאחר מכן על יציאה ארגונית אינה מוחקת את התצפית הקודמת, משום שאלה תצפיות של שני דברים שונים. ההבנה איזו מהן היא איזו מכריעה את רוב הוויכוח על מה מעסיק יכול ולא יכול להסיק.

שתי כתובות, שתי תצפיות שונות

המנגנון הוא socket ולא מדיניות. כשהלקוח שלך פותח את המנהרה הוא שולח מנות מכתובת מקומית לכתובת הציבורית של השער, וליבת השער רושמת את המקור של אותו זרם. אותו מקור הוא נקודת הקצה ברשת שהספק שלך הקצה לחיבור באותו רגע.

מאחורי נתב ביתי המקור הוא הכתובת הציבורית של הנתב לאחר NAT. ברשת סלולרית זה יכול להיות כתובת NAT ברמת מפעיל המשותפת עם מנויים רבים אחרים בו-זמנית, ולכן שני אנשים לא קשורים יכולים להיראות כאילו הגיעו מאותו מקום. ברשת אורחים ארגונית זה היציאה של אותה רשת. בכל מקרה השער לומד כתובת, פורט וחותמת זמן, והכתובת שייכת למפעיל רשת ולא לאדם.

מה השער באמת רושם

מה שנרשם לאחר מכן הוא שאלה נפרדת ממה שנראה מבחינה טכנית. השער עשוי לתעד את החיבור, את זהות האימות ואת כתובת המנהרה שהוקצתה, או לתעד כמעט דבר מלבד מצב ההפעלה. שמירה, ייצוא ל-SIEM ותיאום עם חשבון הם החלטות פריסה, ואף אחת מהן אינה נובעת מכך שהמקור היה ניתן לתצפית.

התייחס לנראות ולשמירה כאל שני צירים. שירות יכול לראות הכול ולא לשמור דבר, או לראות מעט ולהעביר הכול הלאה.

המסקנה המעשית היא שאינך יכול להסיק על הרשומות של המעסיק שלך מתוך הלקוח שהתקנת. שאל מה השירות מוגדר לאסוף וכמה זמן, וצפה שהתשובה תהיה מסמך מדיניות ולא ערובה טכנית. כדאי גם להפריד את שער ה-VPN מכל דבר אחר במכשיר מנוהל, משום שלתוכנת נקודת הקצה יש יכולות משלה ורשומות משלה. VPN אישי משנה מסלול; הוא אינו משנה את מה שתוכנה שכבר פועלת במכונה יכולה לתצפת בו.

מה מסד נתונים של IP יכול לומר ומה לא

מסד נתונים של מיקום גיאוגרפי לפי IP לוקח את הכתובת הזו ומחזיר שדות: מדינה, אזור, עיר, מיקוד, קו רוחב וקו אורך, ובנוסף רדיוס דיוק כאשר הספק מספק אחד. השדות האלה הם הערכות הנגזרות מנתוני רישום, מטופולוגיית הרשת ומהשהיה שנמדדה, והם נשחקים בדרכים שונות בכל רמה. תשובה לגבי מדינה יכולה להיות איתנה בעוד התשובה לגבי העיר היא ניחוש.

הנחיות הדיוק של MaxMind עצמה מפורשות לגבי ההבחנה שחשובה כאן: איתור שרת VPN אינו איתור המשתמשים שלו, והנתונים אינם יכולים לזהות משק בית, אדם או כתובת רחוב. קרא את רדיוס הדיוק ואת שדות הביטחון במקום שבו המוצר מציג אותם, והתייחס לנתונים חסרים כחסרים ולא כברירת מחדל. סיכה על מפה היא בחירת תצוגה, לא מדידה. רשומות רישום ו-DNS הפוך הם סוג אחר של ראיה: whois 203.0.113.5 אומר לך איזה מפעיל מחזיק בהקצאה ו-dig +short -x 203.0.113.5 אומר לך איך המפעיל כינה אותה, ואף אחד מהם אינו קביעה על היכן עמד אדם.

רשומות שאינן ניתנות להחלפה

זה חותך לשני הכיוונים, ולכן הוא בסיס גרוע להחלטה נחרצת. הערכה שמתיישבת עם האזור המאושר אינה מוכיחה נוכחות. אי-התאמה אינה מוכיחה כשלעצמה הטעיה.

סקירה של עבודה מרחוק שנשענת על חיפוש אחד עונה על שאלה אחרת מזו שנשאלת. מה שהיא צריכה הוא הקשר: אילו מקומות ההסדר מתיר, מה האדם דיווח, והאם ראיות אחרות מסכימות. זהו תהליך ניהולי עם קלט טכני, לא פסק טכני.

הרשומות האחרות שארגון עשוי להחזיק אינן ניתנות להחלפה בכתובת מקור. הגדרת אזור זמן היא העדפת מכשיר שכל אחד יכול לשנות; אירוע בחשבון מתעד שהתקיימה הפעלה, לא היכן; קריאת מיקום של מכשיר מתוכנת נקודת הקצה היא חיישן אחר עם הרשאות אחרות ומצבי שגיאה אחרים. להניח שכל מעסיק אוסף את כולן שגוי בדיוק כמו להניח שלא נאספת אף אחת. המשמעת המועילה היא לנקוב בשם הרשומה, בבעליה ובמצב השגיאה שלה לפני שמתייחסים אליה כראיה למשהו.

מה נובע עבור הסדר עבודה

לגבי ההסדרים שלך, השאלה שכדאי לשאול היא מה הארגון אוסף ואילו מקומות עבודה הוא מתיר. אלה שתי תשובות משני חלקים שונים של העסק.

תצוגה של כתובת IP מקור אינה יכולה להכריע הרשאה לעבוד ממקום, ושינוי מסלול אינו תחליף להסכמה על ההסדר. אם המדיניות אינה ברורה, הצעד הפורה הוא לשאול ולא לייעל את נתיב הרשת. עקיפות טכניות נוטות לייצר בדיוק את הרשומה שנראית כמו הסתרה.

הקביעה הטכנית הניתנת להגנה היא צרה, וכדאי להשאיר אותה צרה: השער מתצפת במקור הרשת של החיבור הנכנס, מסד נתונים למיקום גיאוגרפי עשוי להעריך מיקום לאותו מקור, וכל טענה על מיקומו הפיזי של אדם דורשת ראיות מעבר לשניהם. הנחיות הדיוק של MaxMind הן האסמכתא למה שההערכות הללו תומכות בו. כל מה שמעבר לכך הוא שאלת מדיניות בתחפושת טכנית.