למה כלל VPN לא יכול לעצור העלאה של קובץ אחד
הגעה לשירות ושליטה באילו קבצים יוצאים ממנו הן שתי דרישות. הציבו את הכלל במקום שבו הקובץ גלוי: דואר, יישום או סוכן נקודת קצה.
צוות קטן מבקש גישה מרחוק למערכות העבודה שלו ובאותה נשימה מבקש שקבצים מצורפים מסוימים יפסיקו לצאת מהחברה. שתי הבקשות נשמעות כמו שינוי VPN אחד. אלו שתי דרישות עם נקודות אכיפה שונות, וכלל שמספק את הראשונה לא עושה דבר לשנייה. התחילו בשם הפעולה והנתונים, ואז בחרו ברכיב שבאמת יכול לראות אותם.
בקשה אחת, שתי דרישות
הדרישה הראשונה עוסקת בנגישות: אילו משתמשים והתקנים רשאים לפתוח חיבור לאיזה שירות. השנייה עוסקת בהתנהגות לאחר שהחיבור הזה קיים: אילו מסמכים רשאים להיות מצורפים, מודבקים או מועלים. מנהרה פועלת על הראשונה ועיוורת לשנייה כברירת מחדל.
בקרה ברמת IP מעבירה מנות. היא אינה מנתחת העלאה מרובת חלקים, אינה בודקת PDF ואינה מחליטה אם גיליון אלקטרוני מכיל מספרי חשבון. לצפות ממנה לכך אינו טעות תצורה; זו טעות קטגוריה.
אמרו את הדרישה בקול בצורה הזאת לפני שאתם מחפשים מוצר. «משתמשים רשאים להגיע לפורטל הקבצים» ו«משתמשים אינם רשאים להעלות רשימות לקוחות לפורטל הקבצים» הם משפטים שונים, ורק השני מתאר מדיניות תוכן.
בחרו ברכיב שיכול לראות את הקובץ
האכיפה חייבת להתרחש במקום שבו הקובץ קריא. בדואר אלקטרוני זה בדרך כלל פלטפורמת הדואר או השער, שכבר מטפלים בקבצים מצורפים ויכולים להעריך אותם לפני מסירה. בהעלאות דפדפן לשירות מאושר, היישום עצמו עשוי להיות הגורם היחיד שרואה את התוכן. במחשב נייד מנוהל שמעתיק קבצים למדיה נשלפת, סוכן נקודת קצה רואה את הפעולה.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
חבילות גישה מרחוק מסחריות מסוימות מאגדות סוכן נקודת קצה, בקרת רשת ומודול למניעת דליפת מידע. הרכיבים האלה עשויים לאכוף מדיניות תוכן, אבל היכולת שייכת למודול ולא למנהור. קראו מה החבילה כוללת באמת לפני שמבטיחים את התוצאה.
מודל שימושי להשוואה הוא הסקירה של מניעת דליפת מידע ב-Purview של Microsoft: הוא מתאר מדיניות במונחים של סוגי מידע רגיש, מיקומים ופעילויות. אוצר המילים הזה עוסק בתוכן ובפעולות, לא בקידומות IP.
TLS שורד את המנהרה, אז תכננו לכך
הצפנת היישום מנוהלת בין הלקוח לשירות, ומנהרת VPN נושאת את הבתים האלה בלי לפתוח אותם. לכן שער בדרך אינו מקבל אוטומטית את היכולת לסווג קובץ מצורף, ככל חלק מהמסלול שיהיה בבעלותו.
כדי לבדוק תוכן בתעבורה צריך רכיב שמסיים TLS עם תעודה מהימנה, וזו החלטת ארכיטקטורה משמעותית עם השלכות פרטיות ותפעוליות משלה. זה לא תיבת סימון בפרופיל ה-VPN. הלקוחות חייבים לסמוך על תעודת הבדיקה, יישומים שמצמידים תעודות יישברו, והמפעיל מקבל את היכולת לקרוא תעבורה שלא יכול היה לקרוא קודם. אלה הסיבות לכך שההחלטה הזאת שייכת לבעל אבטחה ולא למי שמפעיל את המנהרה.
לכן התשובה הכנה ל«האם ה-VPN יכול לחסום את ההעלאה הזאת» היא בדרך כלל לא, ואחריה חלופה קונקרטית. החלופה יכולה להיות הגבלות ברמת היישום, כלל דואר או מדיניות נקודת קצה, ולכל אחת מהן בעל שיכול לשנות אותה.
כתבו את מבחן הקבלה לפני הכלל
כלל תוכן צריך שתי דוגמאות, לא אחת: פעולה מותרת שחייבת להמשיך לעבוד, ופעולה אסורה שחייבת להיעצר. בדקו את שתיהן מהיישומים וההתקנים שבתחום, כי מדיניות שעובדת רק בדפדפן אחד אינה המדיניות שמישהו ביקש.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadהבקשה הראשונה צריכה להידחות בידי הרכיב שמחזיק בכלל, והשנייה צריכה להצליח. אם שתיהן מצליחות, הבקרה אינה בדרך. אם שתיהן נכשלות, שברתם את השירות במקום להגן עליו, וזו התוצאה הנפוצה יותר של כלל שנכתב בלי דוגמה מותרת.
החליטו מראש מה המשתמש רואה, מי יכול להעניק חריגה והיכן מנהל מאשר את ההחלטה אחר כך. העלאה חסומה בלי הודעה מייצרת קריאת שירות, וכלל שאיש אינו יכול לבקר יוצר ויכוח. את שתיהן אפשר למנוע במשפט תיעוד אחד שנכתב לפני שהמדיניות נכנסת לתוקף.
לבסוף, החזיקו את שתי הדרישות בכרטיסים נפרדים עם בעלים נפרדים. איחודן תחת «VPN» מבטיח שיידרש מצוות הרשת לפתור בעיית תוכן, ושברגע שהמנהרה עולה בעיית התוכן תוכרז כפתורה.