IPS ने VPN के ज़रिए डेटाबेस को रोका: अपवाद का दायरा तय करें
VPN भीतरी डेटाबेस ट्रैफ़िक को जाँच से मुक्त नहीं करता। चुनने से पहले सिग्नेचर दमन, स्रोत बहिष्करण और श्रेणी निष्क्रिय करने की तुलना करें।
VPN के भीतर डेटाबेस कनेक्शन अब भी IPS द्वारा रोके जाते हैं, घटना लॉग कारण बताता है, और सबसे तेज़ मरम्मत किसी अपवाद जैसी दिखती है। उससे पहले देखें कि टनल वास्तव में क्या बदलता है। यह अपने सिरों के बीच ट्रैफ़िक की रक्षा करता है और फिर सामान्य भीतरी पैकेट उसे सौंप देता है जो नेटवर्क के भीतर की जाँच करता है, जो ठीक वही जगह है जहाँ सिग्नेचर सक्रिय हुआ। टनल कोई छूट नहीं है, और पहचान अपने आप गलत नहीं होती।
डीकैप्सुलेशन वह जगह है जहाँ जाँच फिर शुरू होती है
टनल छोड़ता ट्रैफ़िक डेटाबेस होस्ट को संबोधित सामान्य IP पैकेट के रूप में पहुँचता है। उस मार्ग पर कोई भी घुसपैठ-रोकथाम उपकरण उन्हें अपनी नीति के अनुसार आँकता है, इसलिए एन्क्रिप्टेड लिंक पार कर चुका कनेक्शन भी भीतरी नेटवर्क के लिए लिखे नियम से गिराया जा सकता है।
एंड-टू-एंड TLS उस दृश्यता की सीमा है। जब क्लाइंट डेटाबेस सर्वर का प्रमाणपत्र सत्यापित करता है, जाँच उपकरण कनेक्शन संसाधित करता है पर एप्लिकेशन पेलोड नहीं पढ़ सकता, इसलिए वहाँ की पहचान क्वेरी टेक्स्ट के बजाय मेटाडेटा से मेल खाती है। उस ब्यौरे को छोड़ दें और हर अवरुद्ध कनेक्शन गहरी जाँच का प्रमाण जैसा दिखेगा। दोनों तथ्य मायने रखते हैं: उपकरण अंधा नहीं है, और वह सब कुछ पढ़ता भी नहीं।
पहचान डिफ़ॉल्ट रूप से झूठी सकारात्मक नहीं होती
सिग्नेचर किसी पैटर्न को पकड़ने के लिए है, और अपेक्षित व्यावसायिक ट्रैफ़िक अब भी वास्तव में कमज़ोर कोड पथ से गुज़र सकता है। पहले दर्ज घटना को एप्लिकेशन ऑपरेशन से मिलाएँ: टाइमस्टैम्प, भीतरी स्रोत और गंतव्य, पोर्ट, सिग्नेचर पहचानकर्ता और की गई कार्रवाई। वे छह फ़ील्ड यह भी बताते हैं कि चेतावनी उस कनेक्शन की है जो विफल हुआ या किसी पड़ोसी की जो संयोग से व्यस्त था।
सर्वर तक कुछ पैकेट पहुँचना IPS को कारण के रूप में नहीं पहचानता, और मेल खाता सिग्नेचर यह सिद्ध नहीं करता कि क्लाइंट वैध है। दोनों पाठ अनुमान हैं जब तक घटना क्लाइंट की स्वयं की रिपोर्ट से सहसंबद्ध न हो। सहसंबद्ध घटना ही साक्ष्य है, और डेटाबेस संस्करण निर्णय का हिस्सा है।
तीन अपवाद दायरे और हर एक क्या हटाता है
विकल्प इस बात में भिन्न हैं कि वे कितनी जाँच बंद करते हैं, और अंतर सेटिंग के इंटरफ़ेस के संकेत से बड़ा है। सिग्नेचर दमन उस ट्रैफ़िक के लिए एक नियम हटाता है जिससे वह मेल खाता है। स्रोत बहिष्करण उस पते से आने वाली हर चीज़ की जाँच हटाता है। श्रेणी निष्क्रिय करना नियमों का एक परिवार हटाता है, कभी-कभी पूरी नीति में।
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
जब भी उत्पाद इसे व्यक्त कर सके, पहली पंक्ति को प्राथमिकता दें। जब वह न कर सके, सीमा को ऊपर भेजें, व्यापक अपवाद को सटीक बताकर प्रस्तुत करने के बजाय; जो इसे स्वीकृत करता है उसे अंतर लिखित में दिखना चाहिए।
आप सोचते हैं कि आपने जो दायरा तय किया है
अनुवाद बदलता है कि अपवाद क्या कवर करता है। जब कई VPN क्लाइंट एक अनूदित पते के पीछे दिखाई देते हैं, उस पते को बहिष्कृत करना उन सभी को छूट देता है, जो जाँच शुरू करने वाली एकल खोज से कहीं अधिक व्यापक है।
आपने जो फ़ॉर्म भरा उसके बजाय प्रभावी दायरा जाँचें, और नियम के पास घटना पहचानकर्ता दर्ज करें। कारण के बिना अपवाद स्थायी नीति बन जाता है, और अगले समीक्षक को जानने का कोई तरीका नहीं होता कि यह अब भी लागू है या नहीं।
ऑपरेशन और सीमा फिर से जाँचें
वही हानिरहित डेटाबेस ऑपरेशन दोहराएँ और पुष्टि करें कि कनेक्शन पूरा होता है, फिर पुष्टि करें कि असंबंधित पहचान अब भी ऐसे परीक्षण में सक्रिय होती हैं जो उन्हें सक्रिय करना चाहिए। कनेक्टिविटी बहाल करना एक स्वीकृति मानदंड है; इच्छित सीमा बनाए रखना दूसरा।
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"क्या अपवाद किया गया, क्यों, और अगले सिग्नेचर अपडेट या एप्लिकेशन अपग्रेड के बाद कब दोबारा देखना है, लिखें। समय-सारिणी के अनुसार दोबारा पढ़ा गया दमन अभियांत्रिकी निर्णय है; जिसे कोई याद नहीं रखता वह विश्वास सीमा का धीमा विस्तार है।