IPS memblokir basis data melalui VPN: tentukan cakupan pengecualian
VPN tidak membebaskan lalu lintas basis data internal dari pemeriksaan. Bandingkan penekanan tanda tangan, pengecualian sumber, dan penonaktifan kategori sebelum memilih.
Koneksi basis data di dalam VPN masih diblokir oleh IPS, log peristiwa menyebutkan penyebabnya, dan perbaikan tercepat tampak seperti pengecualian. Sebelum itu, perhatikan apa yang sebenarnya diubah terowongan. Ia melindungi lalu lintas antara ujung-ujungnya lalu menyerahkan paket internal biasa kepada apa pun yang memeriksa bagian dalam jaringan, yang persis di situlah tanda tangan terpicu. Terowongan bukan pengecualian, dan deteksi tidak otomatis salah.
Dekapsulasi adalah tempat pemeriksaan berlanjut
Lalu lintas yang keluar dari terowongan tiba sebagai paket IP biasa yang dialamatkan ke host basis data. Perangkat pencegahan intrusi apa pun di jalur itu menilainya menurut kebijakannya sendiri, itulah sebabnya koneksi yang melewati tautan terenkripsi masih bisa dibuang oleh aturan yang ditulis untuk jaringan internal.
TLS ujung ke ujung adalah batas visibilitas itu. Ketika klien memverifikasi sertifikat server basis data, perangkat pemeriksaan memproses koneksi tetapi tidak dapat membaca muatan aplikasi, sehingga deteksi di sana cocok dengan metadata, bukan teks kueri. Lewatkan detail itu dan setiap koneksi yang diblokir tampak seperti bukti pemeriksaan mendalam. Kedua fakta penting: perangkat tidak buta, dan perangkat juga tidak membaca semuanya.
Deteksi tidak otomatis merupakan positif palsu
Tanda tangan ada untuk menangkap suatu pola, dan lalu lintas bisnis yang diharapkan masih dapat melewati jalur kode yang benar-benar rentan. Cocokkan peristiwa yang tercatat dengan operasi aplikasi terlebih dahulu: stempel waktu, sumber dan tujuan internal, port, pengenal tanda tangan, dan tindakan yang diambil. Enam bidang itu juga memberi tahu Anda apakah peringatan itu milik koneksi yang gagal atau milik tetangga yang kebetulan sibuk.
Beberapa paket yang mencapai server tidak mengidentifikasi IPS sebagai penyebab, dan tanda tangan yang cocok tidak membuktikan bahwa klien sah. Kedua bacaan itu dugaan sampai peristiwa dikorelasikan dengan laporan klien sendiri. Peristiwa yang terkorelasi adalah buktinya, dan versi basis data adalah bagian dari penilaian.
Tiga cakupan pengecualian dan apa yang dihapus masing-masing
Opsinya berbeda dalam berapa banyak pemeriksaan yang dimatikan, dan perbedaannya lebih besar daripada yang disiratkan antarmuka pengaturan. Penekanan tanda tangan menghapus satu aturan untuk lalu lintas yang cocok dengannya. Pengecualian sumber menghapus pemeriksaan semua yang berasal dari alamat itu. Menonaktifkan kategori menghapus satu keluarga aturan, kadang di seluruh kebijakan.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Utamakan baris pertama setiap kali produk dapat mengungkapkannya. Bila tidak bisa, eskalasikan batasan itu alih-alih menyajikan pengecualian luas sebagai pengecualian yang presisi; orang yang menyetujuinya harus melihat perbedaannya secara tertulis.
Cakupan yang Anda kira telah Anda tetapkan
Penerjemahan mengubah apa yang dicakup pengecualian. Ketika beberapa klien VPN muncul di balik satu alamat yang diterjemahkan, mengecualikan alamat itu membebaskan semuanya, yang jauh lebih luas daripada satu temuan yang memulai penyelidikan.
Periksa cakupan efektif, bukan formulir yang Anda isi, dan catat pengenal insiden di samping aturan. Pengecualian tanpa alasan menjadi kebijakan permanen, dan peninjau berikutnya tidak punya cara untuk tahu apakah masih berlaku.
Uji ulang operasi dan batasnya
Ulangi operasi basis data yang tidak berbahaya itu dan pastikan koneksi selesai, lalu pastikan deteksi yang tidak terkait masih menyala dalam pengujian yang seharusnya memicunya. Memulihkan konektivitas adalah satu kriteria penerimaan; menjaga batas yang dimaksudkan adalah yang lain.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Catat apa yang dikecualikan, mengapa, dan kapan meninjaunya lagi setelah pembaruan tanda tangan atau peningkatan aplikasi berikutnya. Penekanan yang dibaca ulang sesuai jadwal adalah keputusan rekayasa; penekanan yang tidak diingat siapa pun adalah perluasan batas kepercayaan yang lambat.