Mit láthat a munkahelyi VPN átjáró arról, hogy hol vagy

Az a cím, amelyet egy webhely lát, miután csatlakoztál egy munkahelyi VPN-hez, nem az a cím, amelyet a munkahelyi átjáró a csatlakozáskor látott. Az átjáró bármely hálózatból fogad bejövő alagutat, amelyben a laptopod van, és ez a forrás már azelőtt látható számára, hogy bármilyen alagúton belüli forgalom létezne. Az, hogy a böngésző később vállalati kijáratot jelent, nem törli a korábbi megfigyelést, mert a kettő különböző dolgok megfigyelése. Annak megértése, melyik melyik, eldönti a vita nagy részét arról, mit következtethet a munkáltató és mit nem.

Két cím, két különböző megfigyelés

A mechanizmus foglalat, nem szabályzat. Amikor az ügyfeled megnyitja az alagutat, csomagokat küld egy helyi címről az átjáró nyilvános címére, és az átjáró magja rögzíti a folyam forrását. Ez a forrás az a hálózati végpont, amelyet a szolgáltatód a kapcsolathoz abban a pillanatban kijelölt.

Otthoni router mögött a forrás a router nyilvános címe a NAT után. Mobilhálózaton ez lehet operátori szintű NAT-cím, amelyet egy időben sok más előfizetővel osztanak meg, ezért tűnhet úgy, hogy két független ember ugyanarról a helyről jön. Vállalati vendéghálózaton ez a hálózat kijárata. Minden esetben az átjáró megtud egy címet, egy portot és egy időbélyeget, és a cím hálózatüzemeltetőhöz, nem személyhez tartozik.

Mit rögzít valójában az átjáró

Az, hogy utána mi kerül rögzítésre, külön kérdés attól, hogy mi látható technikailag. Az átjáró naplózhatja a kapcsolatot, a hitelesítési identitást és a kiosztott alagútcímet, vagy szinte semmit a munkamenet állapotán kívül. A megőrzés, a SIEM-be exportálás és a fiókkal való korreláció üzemeltetési döntések, és egyik sem következik abból, hogy a forrás megfigyelhető volt.

Kezeld a láthatóságot és a megőrzést két tengelyként. Egy szolgáltatás láthat mindent és nem tart meg semmit, vagy láthat keveset és továbbít mindent.

A gyakorlati következmény, hogy nem tudsz a munkáltatód nyilvántartásairól következtetni a telepített ügyfélből. Kérdezd meg, mit gyűjt a szolgáltatás és mennyi ideig, és számíts arra, hogy a válasz szabályzatdokumentum lesz, nem technikai garancia. Érdemes a VPN-átjárót minden mástól különválasztani egy kezelt eszközön, mert a végponti szoftvernek saját képességei és saját nyilvántartásai vannak. Egy személyes VPN útvonalat változtat; nem változtatja meg azt, mit figyelhet meg a gépen már futó szoftver.

Mit mondhat és mit nem mondhat egy IP-adatbázis

Egy IP-geolokációs adatbázis veszi ezt a címet és mezőket ad vissza: ország, régió, város, irányítószám, szélesség és hosszúság, valamint pontossági sugár, ahol a beszállító ad ilyet. Ezek a mezők regisztrációs adatokból, hálózati topológiából és mért késleltetésből származó becslések, és szintenként eltérően romlanak. Egy országválasz lehet szilárd, miközben a városra adott válasz találgatás.

A MaxMind saját pontossági útmutatója egyértelmű abban a különbségtételben, amely itt számít: egy VPN-kiszolgáló helyének meghatározása nem a felhasználói helyének meghatározása, és az adatok nem azonosíthatnak háztartást, személyt vagy utcacímet. Olvasd a pontossági sugarat és a bizalmi mezőket ott, ahol a termék megjeleníti őket, és a hiányzó adatot hiányzóként kezeld, nem alapértékként. A térképi jelölő megjelenítési választás, nem mérés. A regisztrációs nyilvántartás és a fordított DNS egy másfajta bizonyíték: a whois 203.0.113.5 megmondja, melyik üzemeltető birtokolja a kiosztást, a dig +short -x 203.0.113.5 pedig azt, hogyan nevezte el az üzemeltető, és egyik sem állítás arról, hol állt egy személy.

Nem felcserélhető nyilvántartások

Ez mindkét irányba vág, ezért gyenge alap egy kategorikus döntéshez. Az jóváhagyott régióval egyező becslés nem bizonyít jelenlétet. Az eltérés önmagában nem bizonyít megtévesztést.

Egy távmunka-felülvizsgálat, amely egyetlen lekérdezésre támaszkodik, más kérdésre válaszol, mint amelyet feltesznek. Neki kontextus kell: mely helyeket enged a megállapodás, mit jelentett a személy, és egyeznek-e más bizonyítékok. Ez technikai bemenetekkel dolgozó vezetési folyamat, nem technikai ítélet.

A szervezet egyéb nyilvántartásai nem cserélhetők fel egy forráscímmel. Az időzóna-beállítás olyan eszközpreferencia, amelyet bárki megváltoztathat; egy fiókesemény azt rögzíti, hogy volt munkamenet, nem azt, hogy hol; az eszköz helyének végponti szoftverből származó leolvasása más érzékelő, más engedélyekkel és más hibamódokkal. Azt feltételezni, hogy minden munkáltató mindegyiket gyűjti, ugyanolyan téves, mint azt feltételezni, hogy egyiket sem gyűjtik. A hasznos fegyelem megnevezni a nyilvántartást, annak tulajdonosát és hibamódját, mielőtt bármi bizonyítékaként kezelnéd.

Mi következik egy munkamegállapodásra

A saját megállapodásaidnál a kérdés az, mit gyűjt a szervezet és mely munkahelyeket enged. Ez két válasz a vállalkozás két különböző részéből.

A forrás-IP megjelenítése nem döntheti el egy helyről való munkavégzés engedélyét, és az útvonal megváltoztatása nem helyettesíti a megállapodást. Ha a szabályzat nem világos, a produktív lépés kérdezni, nem a hálózati útvonalat optimalizálni. A technikai megkerülések általában éppen azt a nyilvántartást termelik, amely eltitkolásnak látszik.

A védhető technikai állítás szűk, és érdemes szűknek tartani: az átjáró megfigyeli a bejövő kapcsolat hálózati eredetét, egy geolokációs adatbázis becsülhet helyet ehhez az eredethez, és egy személy fizikai helyzetére vonatkozó minden állításnak mindkettőn túli bizonyítékra van szüksége. A MaxMind pontossági útmutatója hivatkozás arra, mit támasztanak alá ezek a becslések. Minden, ami ezen túl van, technikai jelmezbe öltözött szabályzatkérdés.