Miért nem állíthatja meg egy VPN-szabály egy fájl feltöltését
Egy szolgáltatás elérése és annak szabályozása, hogy mely fájlok hagyják el, két követelmény. Helyezze a szabályt oda, ahol a fájl látható: levél, alkalmazás vagy végpontügynök.
Egy kis csapat távoli hozzáférést kér a munkarendszereihez, és ugyanabban a leheletben azt kéri, hogy bizonyos mellékletek ne hagyják el a céget. Mindkét kérés egyetlen VPN-változásnak hangzik. Két követelmény ez, különböző érvényesítési pontokkal, és az elsőt kielégítő szabály semmit nem tesz a másodikért. Kezdje a művelet és az adatok megnevezésével, majd válassza ki azt az összetevőt, amely valóban látja őket.
Egy kérés, két követelmény
Az első követelmény az elérhetőségről szól: mely felhasználók és eszközök nyithatnak kapcsolatot melyik szolgáltatáshoz. A második arról szól, mi történik, miután ez a kapcsolat létezik: mely dokumentumok csatolhatók, illeszthetők be vagy tölthetők fel. Az alagút az elsőn hat, és tervezésénél fogva vak a másodikra.
Az IP-szintű szabályozás továbbítja a csomagokat. Nem elemzi a több részből álló feltöltést, nem vizsgál meg egy PDF-et, és nem dönti el, tartalmaz-e számlaszámokat egy táblázat. Ezt elvárni tőle nem konfigurációs hiba; kategóriahiba.
Mondja ki a követelményt hangosan ebben a formában, mielőtt terméket keres. „A felhasználók elérhetik a fájlportált” és „a felhasználók nem tölthetnek fel ügyféllistákat a fájlportálra” különböző mondatok, és csak a második ír le tartalomszabályzatot.
Válassza ki azt az összetevőt, amely látja a fájlt
Az érvényesítésnek ott kell történnie, ahol a fájl olvasható. E-mail esetén ez általában a levelezési platform vagy az átjáró, amely már kezeli a mellékleteket, és a kézbesítés előtt értékelheti őket. Egy jóváhagyott szolgáltatásba irányuló böngészős feltöltésnél maga az alkalmazás lehet az egyetlen fél, amely látja a tartalmat. Egy felügyelt laptop esetén, amely fájlokat másol cserélhető adathordozókra, egy végpontügynök látja a műveletet.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Egyes kereskedelmi távhozzáférési csomagok végpontügynököt, webes vezérlést és adatszivárgás-megelőzési modult kínálnak együtt. Ezek az összetevők valóban érvényesíthetnek tartalomszabályzatot, de a képesség a modulhoz tartozik, nem az alagutazáshoz. Olvassa el, mit tartalmaz valójában a csomag, mielőtt megígéri az eredményt.
A Microsoft Purview adatszivárgás-megelőzési áttekintése hasznos összehasonlítási modell: a szabályzatokat érzékeny adattípusok, helyszínek és tevékenységek szerint írja le. Ez a szókincs tartalomról és műveletekről szól, nem IP-előtagokról.
A TLS túléli az alagutat, ezért tervezzen rá
Az alkalmazás titkosítása az ügyfél és a szolgáltatás között jön létre, és a VPN-alagút ezeket a bájtokat anélkül szállítja, hogy megnyitná őket. Az útvonalon lévő átjáró ezért nem kapja meg automatikusan a melléklet osztályozásának képességét, bármekkora részt is birtokol az útvonalból.
Az átvitel közbeni tartalom vizsgálatához olyan összetevő kell, amely megbízható tanúsítvánnyal zárja le a TLS-t, és ez jelentős architekturális döntés, saját adatvédelmi és üzemeltetési következményekkel. Ez nem egy jelölőnégyzet a VPN-profilban. Az ügyfeleknek meg kell bízniuk az ellenőrző tanúsítványban, a tanúsítványokat rögzítő alkalmazások eltörnek, és az üzemeltető képessé válik olyan forgalom olvasására, amelyet korábban nem tudott. Ezek az okai annak, hogy ez a döntés biztonsági tulajdonoshoz tartozik, nem ahhoz, aki az alagutat működteti.
Ezért a „meg tudja-e akadályozni a VPN ezt a feltöltést” kérdésre a tisztességes válasz általában nem, amelyet konkrét alternatíva követ. Az alternatíva lehet alkalmazásszintű korlátozás, levelezési szabály vagy végpontszabályzat, és mindegyiknek van olyan tulajdonosa, aki meg tudja változtatni.
Írja meg az elfogadási tesztet a szabály előtt
Egy tartalomszabályhoz két példa kell, nem egy: egy engedélyezett művelet, amelynek továbbra is működnie kell, és egy tiltott művelet, amelyet meg kell állítani. Mindkettőt tesztelje a hatókörbe tartozó alkalmazásokból és eszközökből, mert az a szabályzat, amely csak egy böngészőben működik, nem az a szabályzat, amelyet bárki kért.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadAz első kérést annak az összetevőnek kell elutasítania, amely a szabályt birtokolja, a másodiknak pedig sikerülnie kell. Ha mindkettő sikerül, az ellenőrzés nincs az útvonalon. Ha mindkettő meghiúsul, eltörte a szolgáltatást ahelyett, hogy megvédte volna, ami az engedélyezett példa nélkül írt szabály gyakoribb eredménye.
Döntse el előre, mit lát a felhasználó, ki adhat kivételt, és hol erősíti meg a döntést utólag egy rendszergazda. Egy üzenet nélküli blokkolt feltöltés támogatási jegyet szül, az a szabály pedig, amelyet senki nem tud auditálni, vitát szül. Mindkettő elkerülhető egyetlen mondat dokumentációval, amelyet a szabályzat hatálybalépése előtt írnak.
Végül tartsa a két követelményt külön jegyekben, külön tulajdonosokkal. Az „VPN” alá vonásuk garantálja, hogy a hálózati csapattól egy tartalomprobléma megoldását kérik, és hogy a tartalomproblémát megoldottnak nyilvánítják, amikor az alagút feláll.