Af hverju VPN-regla getur ekki stöðvað upphleðslu einnar skráar
Að ná til þjónustu og stjórna hvaða skrár fara úr henni eru tvær kröfur. Settu regluna þar sem skráin er sýnileg: tölvupóstur, forrit eða endapunktsumboð.
Lítið teymi biður um fjartengingu við vinnukerfi sín og biður í sama andardrætti að tiltekin viðhengi hætti að yfirgefa fyrirtækið. Báðar beiðnir hljóma eins og ein VPN-breyting. Þetta eru tvær kröfur með ólíkum framfylgdarpunktum, og regla sem fullnægir þeirri fyrri gerir ekkert fyrir þá seinni. Byrjaðu á að nefna aðgerðina og gögnin og veldu síðan eininguna sem getur raunverulega séð þau.
Ein beiðni, tvær kröfur
Fyrri krafan snýst um aðgengi: hvaða notendur og tæki mega opna tengingu við hvaða þjónustu. Sú seinni snýst um hegðun eftir að þessi tenging er til: hvaða skjöl mega fylgja, límast eða hlaðast upp. Göng virka á þá fyrri og eru hönnuð blind á þá seinni.
Stjórnun á IP-stigi sendir pakka áfram. Hún þáttar ekki upphleðslu í mörgum hlutum, skoðar ekki PDF og ákveður ekki hvort töflureiknir inniheldur reikningsnúmer. Að ætlast til þess af henni er ekki stillingarvilla; það er flokkavilla.
Segðu kröfuna upphátt í þessu formi áður en þú ferð að leita að vöru. „Notendur mega ná til skráagáttarinnar“ og „notendur mega ekki hlaða viðskiptavinalistum upp í skráagáttina“ eru mismunandi setningar, og aðeins sú seinni lýsir stefnu um efni.
Veldu eininguna sem getur séð skrána
Framfylgdin verður að eiga sér stað þar sem skráin er læsileg. Fyrir tölvupóst er það venjulega póstkerfið eða gáttin, sem sér nú þegar um viðhengi og getur metið þau fyrir afhendingu. Fyrir upphleðslur úr vafra í samþykkta þjónustu getur forritið sjálft verið eini aðilinn sem sér efnið. Fyrir stýrða fartölvu sem afritar skrár á fjarlægjanlegt miðil sér endapunktsumboð aðgerðina.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Sumar auglýsingapakkar fyrir fjartengingu sameina endapunktsumboð, vefstjórnun og einingu til að koma í veg fyrir gagnatap. Þessar einingar geta vel framfylgt stefnu um efni, en getan tilheyrir einingunni en ekki göngunum. Lestu hvað pakkinn inniheldur í raun áður en þú lofar niðurstöðunni.
Gagnlegt líkan til samanburðar er yfirlit Purview um að koma í veg fyrir gagnatap frá Microsoft: það lýsir stefnum í skilmálum tegunda viðkvæmra upplýsinga, staðsetninga og aðgerða. Þessi orðaforði snýst um efni og aðgerðir, ekki um IP-forskeyti.
TLS lifir göngin af, svo skipuleggðu það
Dulkóðun forritsins er samin milli biðlarans og þjónustunnar, og VPN-göng bera þessi bæti án þess að opna þau. Gátt á leiðinni öðlast því ekki sjálfkrafa getu til að flokka viðhengi, hversu stór hluti leiðarinnar sem hún á.
Til að skoða efni í flutningi þarftu einingu sem lýkur TLS með traustu vottorði, og það er umtalsverð arkitektúrleg ákvörðun með eigin afleiðingum fyrir persónuvernd og rekstur. Það er ekki haka í VPN-sniðinu. Biðlarar verða að treysta skoðunarvottorðinu, forrit sem festa vottorð munu brotna, og rekstraraðilinn öðlast getu til að lesa umferð sem hann gat ekki lesið áður. Þetta eru ástæðurnar fyrir því að þessi ákvörðun tilheyrir öryggiseiganda en ekki þeim sem rekur göngin.
Þess vegna er heiðarlegt svar við „getur VPN stöðvað þessa upphleðslu“ venjulega nei, og á eftir kemur áþreifanlegur valkostur. Valkosturinn getur verið takmarkanir á forritastigi, póstregla eða stefna fyrir endapunkt, og hver þeirra á eiganda sem getur breytt henni.
Skrifaðu samþykktarprófið á undan reglunni
Stefna um efni þarf tvö dæmi, ekki eitt: leyfða aðgerð sem verður að halda áfram að virka, og bannaða aðgerð sem verður að stöðva. Prófaðu bæði frá forritunum og tækjunum sem eru innan umfangs, því stefna sem virkar aðeins í einum vafra er ekki stefnan sem einhver bað um.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadFyrri beiðnina á einingin sem á regluna að hafna, og sú seinni á að takast. Ef báðar takast er stjórnunin ekki á leiðinni. Ef báðar mistakast hefur þú brotið þjónustuna í stað þess að vernda hana, sem er algengari niðurstaða reglu sem er skrifuð án leyfðs dæmis.
Ákveddu fyrirfram hvað notandinn sér, hver getur veitt undanþágu og hvar stjórnandi staðfestir ákvörðunina síðar. Blokkuð upphleðsla án skilaboða framleiðir stuðningsmiða, og regla sem enginn getur endurskoðað framleiðir rifrildi. Hægt er að forðast hvort tveggja með einni setningu af skjölun sem er skrifuð áður en stefnan tekur gildi.
Að lokum skaltu halda kröfunum tveimur í aðskildum miðum með aðskildum eigendum. Að sameina þær undir „VPN“ tryggir að netteymið verði beðið um að leysa vandamál um efni og að vandamálið um efnið verði lýst leyst þegar göngin koma upp.