Zašto VPN pravilo ne može zaustaviti prijenos jedne datoteke
Dohvatiti uslugu i kontrolirati koje datoteke iz nje izlaze dva su zahtjeva. Stavite pravilo tamo gdje je datoteka vidljiva: pošta, aplikacija ili agent na krajnjoj točki.
Mali tim traži udaljeni pristup svojim radnim sustavima i istovremeno traži da određeni privici prestanu napuštati tvrtku. Oba zahtjeva zvuče kao jedna VPN promjena. To su dva zahtjeva s različitim točkama provedbe, a pravilo koje zadovoljava prvi ne čini ništa za drugi. Počnite imenovanjem radnje i podataka, pa odaberite komponentu koja ih doista može vidjeti.
Jedan zahtjev, dva uvjeta
Prvi se zahtjev odnosi na dostupnost: koji korisnici i uređaji smiju otvoriti vezu prema kojoj usluzi. Drugi se odnosi na ponašanje nakon što ta veza postoji: koji se dokumenti smiju priložiti, zalijepiti ili prenijeti. Tunel djeluje na prvi i po dizajnu je slijep za drugi.
Kontrola na razini IP-a prosljeđuje pakete. Ona ne analizira višedijelni prijenos, ne pregledava PDF i ne odlučuje sadrži li tablica brojeve računa. Očekivati to od nje nije pogreška u konfiguraciji; to je pogreška u kategoriji.
Izgovorite zahtjev naglas u tom obliku prije nego što krenete tražiti proizvod. „Korisnici smiju dosegnuti portal datoteka“ i „korisnici ne smiju prenositi popise kupaca na portal datoteka“ različite su rečenice i samo druga opisuje politiku sadržaja.
Odaberite komponentu koja vidi datoteku
Provedba se mora dogoditi tamo gdje je datoteka čitljiva. Za e-poštu je to obično poštanska platforma ili pristupnik, koji već obrađuje privitke i može ih ocijeniti prije dostave. Za prijenose iz preglednika u odobrenu uslugu sama aplikacija može biti jedina strana koja vidi sadržaj. Za upravljano prijenosno računalo koje kopira datoteke na prijenosne medije, agent na krajnjoj točki vidi tu radnju.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Neki komercijalni paketi za udaljeni pristup objedinjuju agenta na krajnjoj točki, web kontrolu i modul za sprječavanje gubitka podataka. Te komponente mogu provoditi politiku sadržaja, ali sposobnost pripada modulu, a ne tuneliranju. Pročitajte što paket zaista uključuje prije nego što obećate ishod.
Koristan model za usporedbu je Microsoftov pregled sprječavanja gubitka podataka u Purviewu : on opisuje politike kroz vrste osjetljivih podataka, lokacije i aktivnosti. Taj rječnik govori o sadržaju i radnjama, ne o IP prefiksima.
TLS preživljava tunel, pa planirajte to
Šifriranje aplikacije dogovara se između klijenta i usluge, a VPN tunel prenosi te bajtove ne otvarajući ih. Pristupnik na putu zato automatski ne dobiva mogućnost klasificiranja privitka, koliko god rute posjedovao.
Da biste pregledali sadržaj u prijenosu, potrebna vam je komponenta koja prekida TLS s pouzdanim certifikatom, što je ozbiljna arhitektonska odluka s vlastitim posljedicama po privatnost i rad. To nije kućica u VPN profilu. Klijenti moraju vjerovati certifikatu za pregled, aplikacije koje prikvačuju certifikate slomit će se, a operater dobiva mogućnost čitati promet koji prije nije mogao. Zato ova odluka pripada vlasniku sigurnosti, a ne onome tko upravlja tunelom.
Zato je iskren odgovor na „može li VPN blokirati ovaj prijenos“ obično ne, nakon čega slijedi konkretna alternativa. Alternativa može biti ograničenje na razini aplikacije, poštansko pravilo ili politika krajnje točke, a svaka ima vlasnika koji je može promijeniti.
Napišite prihvatni test prije pravila
Pravilo sadržaja treba dva primjera, a ne jedan: dopuštenu radnju koja mora nastaviti raditi i zabranjenu radnju koju treba zaustaviti. Testirajte oboje iz aplikacija i uređaja u obuhvatu, jer politika koja radi samo u jednom pregledniku nije politika koju je itko tražio.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadPrvi zahtjev treba odbiti komponenta koja posjeduje pravilo, a drugi treba uspjeti. Ako oba uspiju, kontrola nije na putu. Ako oba propadnu, pokvarili ste uslugu umjesto da ste je zaštitili, što je češći ishod pravila napisanog bez dopuštenog primjera.
Odlučite unaprijed što korisnik vidi, tko može dati iznimku i gdje administrator potvrđuje odluku nakon toga. Blokiran prijenos bez poruke stvara tiket podrške, a pravilo koje nitko ne može revidirati stvara svađu. Oboje se može izbjeći jednom rečenicom dokumentacije napisane prije nego politika stupi na snagu.
Na kraju, držite dva zahtjeva u odvojenim tiketima s odvojenim vlasnicima. Spajanje pod „VPN“ jamči da će se od mrežnog tima tražiti da riješi problem sadržaja i da će problem sadržaja biti proglašen riješenim kad tunel proradi.