Az IPS blokkolt egy adatbázist VPN-en át: határold be a kivételt
A VPN nem mentesíti a belső adatbázis-forgalmat az ellenőrzés alól. Hasonlítsd össze az aláírás elnyomását, a forrás kizárását és a kategória letiltását, mielőtt választasz.
A VPN-en belüli adatbázis-kapcsolatokat továbbra is blokkolja az IPS, az eseménynapló megnevezi az okot, és a leggyorsabb javítás kivételnek látszik. Előtte jegyezd meg, mit változtat valójában az alagút. Védi a forgalmat a végpontjai között, majd sima belső csomagokat ad annak, ami a hálózat belsejét vizsgálja, ami pontosan az a hely, ahol az aláírás lecsapott. Az alagút nem mentesség, és az észlelés nem automatikusan hibás.
A beágyazás bontása az a pont, ahol az ellenőrzés folytatódik
Az alagutat elhagyó forgalom közönséges IP-csomagokként érkezik, amelyek az adatbázis-gazdagéphez vannak címezve. Az útvonalon lévő bármely behatolásmegelőző eszköz a saját irányelve szerint értékeli őket, ezért a titkosított kapcsolaton áthaladt kapcsolatot még mindig eldobhatja egy belső hálózatra írt szabály.
A végpontok közötti TLS ennek a láthatóságnak a határa. Amikor az ügyfél ellenőrzi az adatbázis-kiszolgáló tanúsítványát, az ellenőrző eszköz feldolgozza a kapcsolatot, de nem tudja olvasni az alkalmazás adatát, így az ottani észlelés metaadatoknak felel meg, nem a lekérdezés szövegének. Hagyd figyelmen kívül ezt a részletet, és minden blokkolt kapcsolat mély ellenőrzés bizonyítékának tűnik. Mindkét tény számít: az eszköz nem vak, és nem is olvas el mindent.
Az észlelés alapértelmezés szerint nem téves riasztás
Az aláírás egy minta elkapására létezik, és a várt üzleti forgalom még mindig valóban sebezhető kódútvonalon haladhat. Először párosítsd a rögzített eseményt az alkalmazás műveletével: időbélyeg, belső forrás és cél, portok, aláírás-azonosító és a megtett intézkedés. Ez a hat mező azt is megmondja, hogy a riasztás a sikertelen kapcsolathoz tartozik-e, vagy egy szomszédhoz, amely véletlenül foglalt volt.
Néhány csomag megérkezése a kiszolgálóra nem azonosítja az IPS-t okként, és egy illeszkedő aláírás nem bizonyítja, hogy az ügyfél legitim. Mindkét olvasat találgatás, amíg az eseményt össze nem kapcsolják az ügyfél saját jelentésével. Az összekapcsolt esemény a bizonyíték, és az adatbázis verziója a mérlegelés része.
Három kivételi hatókör és mit távolít el mindegyik
A lehetőségek abban különböznek, mennyi ellenőrzést kapcsolnak ki, és a különbség nagyobb, mint a beállítás felülete sugallja. Az aláírás elnyomása egy szabályt távolít el a hozzá illeszkedő forgalomra. A forrás kizárása mindennek az ellenőrzését eltávolítja arról a címről. Egy kategória letiltása szabálycsaládot távolít el, néha az egész irányelvben.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Lehetőleg az első sort válaszd, amikor a termék ki tudja fejezni. Amikor nem tudja, eszkaláld a korlátozást ahelyett, hogy széles kivételt pontosként mutatnál be; aki jóváhagyja, írásban lássa a különbséget.
A hatókör, amelyet szerinted beállítottál
A fordítás megváltoztatja, mit fed le egy kivétel. Amikor több VPN-ügyfél jelenik meg egy lefordított cím mögött, a cím kizárása mindegyiket mentesíti, ami sokkal szélesebb, mint az a bizonyos megállapítás, amely a vizsgálatot indította.
Az effektív hatókört ellenőrizd, ne a kitöltött űrlapot, és jegyezd fel az incidens azonosítóját a szabály mellé. Az indok nélküli kivétel állandó irányelvvé válik, és a következő bíráló nem tudhatja meg, hogy még érvényes-e.
Teszteld újra a műveletet és a határt
Ismételd meg ugyanazt az ártalmatlan adatbázis-műveletet, és igazold, hogy a kapcsolat létrejön, majd igazold, hogy a nem kapcsolódó észlelések továbbra is kiváltódnak egy olyan tesztben, amelynek ki kellene váltania őket. A kapcsolódás helyreállítása az egyik elfogadási feltétel; a szándékolt határ megtartása a másik.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Írd le, mi lett kivétel, miért, és mikor kell újra átnézni a következő aláírás-frissítés vagy alkalmazásfrissítés után. Az ütemezés szerint újraolvasott elnyomás mérnöki döntés; amelyre senki sem emlékszik, az a bizalmi határ lassú tágulása.