IPS が VPN 経由のデータベースを遮断：例外の範囲を定める
VPN は内部のデータベース通信を検査から免除しません。選択する前に、シグネチャの抑制、送信元の除外、カテゴリの無効化を比較してください。
VPN 内部のデータベース接続は依然として IPS に遮断され、イベントログは原因を示しており、最速の修復は除外のように見えます。その前に、トンネルが実際に何を変えるのかを確認してください。トンネルは両端の間の通信を保護し、その後、内部のパケットをそのままネットワーク内部を検査する装置に渡しますが、シグネチャが反応したのはまさにそこです。トンネルは免除ではなく、検知が自動的に誤りというわけでもありません。
カプセル化解除の地点で検査が再開する
トンネルを出た通信は、データベースホスト宛ての通常の IP パケットとして届きます。その経路上の侵入防止装置は自らのポリシーでそれらを評価するため、暗号化リンクを通過した接続でも、内部ネットワーク向けに書かれたルールで破棄されることがあります。
エンドツーエンド TLS は、その可視性の限界です。クライアントがデータベースサーバーの証明書を検証すると、検査装置は接続を処理しますがアプリケーションのペイロードを読めないため、そこでの検知はクエリ本文ではなくメタデータに一致します。この点を飛ばすと、遮断された接続はすべて深い検査の証拠に見えます。どちらも事実で、装置は盲目ではなく、すべてを読んでいるわけでもありません。
検知は既定で誤検知ではない
シグネチャはパターンを捉えるために存在し、想定内の業務通信でも本当に脆弱なコード経路を通ることがあります。まず記録されたイベントを、タイムスタンプ、内部の送信元と宛先、ポート、シグネチャ識別子、実行されたアクションというアプリケーションの操作と照合します。これら六つの項目は、アラートが失敗した接続のものか、たまたま忙しかった隣人のものかを示します。
サーバーに数個のパケットが届いても IPS が原因とは特定できず、一致するシグネチャもクライアントが正当である証拠にはなりません。どちらの読みも、イベントがクライアント自身の報告と相関づけられるまでの推測です。相関づけられたイベントが証拠であり、データベースのバージョンも判断の一部です。
三つの例外範囲とそれぞれが除くもの
選択肢は無効にする検査の量が異なり、その差は設定画面の見た目より大きくなります。シグネチャの抑制は、一致する通信に対して一つのルールを外します。送信元の除外は、そのアドレスからのすべての検査を外します。カテゴリの無効化はルール群を外し、ときにポリシー全体に及びます。
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
製品が表現できるなら、常に最初の行を選んでください。できない場合は、広い除外を精密なものとして提示するのではなく制限を上へ上げ、承認する人がその違いを文書で見るようにしてください。
設定したと思っている範囲
変換は除外が覆う範囲を変えます。複数の VPN クライアントが一つの変換後アドレスの背後に現れると、そのアドレスを除外することはすべてを免除し、調査を始めた単一の検知よりはるかに広くなります。
記入した様式ではなく実際の範囲を確認し、ルールの横にインシデント識別子を記録してください。理由のない除外は恒久的なポリシーになり、次のレビュー担当者はそれがまだ適用されるか知る術がありません。
操作と境界を再テストする
同じ無害なデータベース操作を繰り返して接続が完了することを確認し、次に、無関係な検知がそれを起こすべきテストで依然として発火することを確認します。接続の回復は一つの受け入れ基準であり、意図した境界の維持はもう一つです。
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"何を除外し、なぜ、次のシグネチャ更新やアプリケーション更新の後にいつ見直すかを書き留めてください。定期的に読み返される抑制はエンジニアリングの判断であり、誰も覚えていない抑制は信頼境界の緩やかな拡大です。