L’IPS ha bloccato un database via VPN: delimitate l’eccezione
Una VPN non esenta il traffico interno del database dall’ispezione. Confrontate la soppressione delle firme, l’esclusione dell’origine e la disattivazione delle categorie prima di scegliere.
Le connessioni al database all’interno di una VPN vengono ancora bloccate dall’IPS, il registro eventi ne indica la causa e la riparazione più rapida sembra un’esclusione. Prima di ciò, notate cosa cambia davvero il tunnel. Protegge il traffico tra i suoi estremi e poi consegna pacchetti interni semplici a ciò che ispeziona l’interno della rete, che è esattamente dove la firma è scattata. Il tunnel non è un’esenzione, e il rilevamento non è automaticamente errato.
La decapsulazione è dove riprende l’ispezione
Il traffico che esce da un tunnel arriva come normali pacchetti IP indirizzati all’host del database. Qualsiasi dispositivo di prevenzione delle intrusioni su quel percorso li valuta secondo la propria politica, ed è per questo che una connessione che ha attraversato un collegamento cifrato può ancora essere scartata da una regola scritta per la rete interna.
Il TLS da estremo a estremo è il limite di quella visibilità. Quando il client verifica il certificato del server del database, il dispositivo di ispezione elabora la connessione ma non può leggere il payload dell’applicazione, quindi un rilevamento lì corrisponde ai metadati anziché al testo della query. Ignorate questo dettaglio e ogni connessione bloccata sembrerà una prova di ispezione profonda. Entrambi i fatti contano: il dispositivo non è cieco, e non legge nemmeno tutto.
Un rilevamento non è un falso positivo per impostazione predefinita
La firma esiste per cogliere un pattern, e il traffico aziendale previsto può comunque percorrere un percorso di codice davvero vulnerabile. Fate prima corrispondere l’evento registrato all’operazione dell’applicazione: marca temporale, origine e destinazione interne, porte, identificatore della firma e azione intrapresa. Quei sei campi vi dicono anche se l’avviso appartiene alla connessione fallita o a un vicino che per caso era occupato.
L’arrivo di alcuni pacchetti al server non identifica l’IPS come causa, e una firma corrispondente non dimostra che il client sia legittimo. Entrambe le letture sono congetture finché l’evento non viene correlato al resoconto del client stesso. L’evento correlato è la prova, e la versione del database fa parte del giudizio.
Tre ambiti di eccezione e cosa rimuove ciascuno
Le opzioni differiscono per quanta ispezione disattivano, e la differenza è maggiore di quanto suggerisca l’interfaccia dell’impostazione. La soppressione della firma rimuove una regola per il traffico che corrisponde. L’esclusione dell’origine rimuove l’ispezione di tutto ciò che proviene da quell’indirizzo. Disattivare una categoria rimuove una famiglia di regole, a volte sull’intera politica.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Preferite la prima riga ogni volta che il prodotto può esprimerla. Quando non può, portate il limite a un livello superiore invece di presentare un’esclusione ampia come precisa; chi la approva dovrebbe vedere la differenza per iscritto.
L’ambito che credete di aver impostato
La traduzione cambia ciò che copre un’esclusione. Quando più client VPN compaiono dietro un indirizzo tradotto, escludere quell’indirizzo li esenta tutti, il che è molto più ampio dell’unica constatazione che ha avviato l’indagine.
Verificate l’ambito effettivo invece del modulo che avete compilato, e annotate l’identificatore dell’incidente accanto alla regola. Un’esclusione senza motivo diventa politica permanente, e il revisore successivo non ha modo di sapere se si applica ancora.
Ritestate l’operazione e il confine
Ripetete la stessa operazione innocua sul database e confermate che la connessione si completa, poi confermate che i rilevamenti non correlati scattano ancora in un test che dovrebbe attivarli. Ripristinare la connettività è un criterio di accettazione; mantenere il confine previsto è l’altro.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Annotate cosa è stato escluso, perché e quando riesaminarlo dopo il prossimo aggiornamento delle firme o upgrade dell’applicazione. Una soppressione riletta secondo un calendario è una decisione ingegneristica; una che nessuno ricorda è una lenta espansione del confine di fiducia.