IPS-მა VPN-ის გავლით მონაცემთა ბაზა დაბლოკა: განსაზღვრეთ გამონაკლისის ფარგლები
VPN არ ათავისუფლებს შიდა მონაცემთა ბაზის ტრაფიკს შემოწმებისგან. არჩევამდე შეადარეთ ხელმოწერის ჩახშობა, წყაროს გამორიცხვა და კატეგორიის გამორთვა.
VPN-ის შიგნით მონაცემთა ბაზის კავშირები კვლავ IPS-ის მიერ იბლოკება, მოვლენების ჟურნალი მიზეზს ასახელებს, და ყველაზე სწრაფი შეკეთება გამონაკლისს ჰგავს. მანამდე დააკვირდით, რას ცვლის გვირაბი სინამდვილეში. ის იცავს ტრაფიკს თავის ბოლოებს შორის და შემდეგ ჩვეულებრივ შიდა პაკეტებს გადასცემს იმას, რაც ქსელის შიდა ნაწილს ამოწმებს, რაც ზუსტად ის ადგილია, სადაც ხელმოწერა გააქტიურდა. გვირაბი გამონაკლისი არ არის, და ამოცნობა ავტომატურად არ არის მცდარი.
დეკაფსულაცია არის ადგილი, სადაც შემოწმება განახლდება
გვირაბიდან გამომავალი ტრაფიკი ჩვეულებრივი IP პაკეტების სახით ჩამოდის, რომლებიც მონაცემთა ბაზის ჰოსტს არის მიმართული. ამ გზაზე არსებული ნებისმიერი შეჭრის თავიდან ასაცილებელი მოწყობილობა მათ საკუთარი პოლიტიკით აფასებს, რის გამოც დაშიფრული კავშირის გავლით გავლილი კავშირი მაინც შეიძლება ჩამოვარდეს შიდა ქსელისთვის დაწერილი წესით.
ბოლოდან ბოლომდე TLS არის ამ ხილვადობის ზღვარი. როდესაც კლიენტი ამოწმებს მონაცემთა ბაზის სერვერის სერტიფიკატს, შემოწმების მოწყობილობა ამუშავებს კავშირს, მაგრამ ვერ კითხულობს აპლიკაციის დატვირთვას, ამიტომ იქ ამოცნობა მეტამონაცემებს შეესაბამება და არა მოთხოვნის ტექსტს. გამოტოვეთ ეს დეტალი და ყოველი დაბლოკილი კავშირი ღრმა შემოწმების მტკიცებულებად გამოჩნდება. ორივე ფაქტი მნიშვნელოვანია: მოწყობილობა ბრმა არ არის, და ის ყველაფერსაც არ კითხულობს.
ამოცნობა ნაგულისხმევად ცრუ დადებითი არ არის
ხელმოწერა არსებობს ნიმუშის დასაჭერად, და მოსალოდნელ ბიზნეს ტრაფიკს მაინც შეუძლია ნამდვილად მოწყვლადი კოდის გზით გაიაროს. ჯერ ჩაწერილი მოვლენა შეუსაბამეთ აპლიკაციის ოპერაციას: დროის ნიშა, შიდა წყარო და დანიშნულება, პორტები, ხელმოწერის იდენტიფიკატორი და მიღებული ზომა. ეს ექვსი ველი ასევე გეუბნებათ, ეკუთვნის თუ არა გაფრთხილება წარუმატებელ კავშირს, თუ შემთხვევით დაკავებულ მეზობელს.
სერვერზე რამდენიმე პაკეტის მისვლა IPS-ს მიზეზად არ განსაზღვრავს, და შესაბამისი ხელმოწერა არ ამტკიცებს, რომ კლიენტი ლეგიტიმურია. ორივე წაკითხვა ვარაუდია, სანამ მოვლენა კლიენტის საკუთარ ანგარიშს არ დაუკავშირდება. დაკავშირებული მოვლენა არის მტკიცებულება, და მონაცემთა ბაზის ვერსია განსჯის ნაწილია.
სამი გამონაკლისის ფარგლები და რას შლის თითოეული
ვარიანტები განსხვავდება იმით, რამდენ შემოწმებას გამორთავს, და განსხვავება უფრო დიდია, ვიდრე პარამეტრის ინტერფეისი მიანიშნებს. ხელმოწერის ჩახშობა შლის ერთ წესს იმ ტრაფიკისთვის, რომელსაც ემთხვევა. წყაროს გამორიცხვა შლის ამ მისამართიდან ყველაფრის შემოწმებას. კატეგორიის გამორთვა შლის წესების ოჯახს, ზოგჯერ მთელ პოლიტიკაში.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
უპირატესობა მიანიჭეთ პირველ სტრიქონს, როცა პროდუქტს შეუძლია მისი გამოხატვა. როცა არ შეუძლია, გადაიტანეთ შეზღუდვა ზემოთ, ვიდრე ფართო გამონაკლისი ზუსტად წარმოადგინოთ; ვინც ამტკიცებს, განსხვავება წერილობით უნდა ნახოს.
ფარგლები, რომელიც გგონიათ, რომ დააყენეთ
თარგმანი ცვლის იმას, რასაც გამონაკლისი ფარავს. როცა რამდენიმე VPN კლიენტი ერთი თარგმნილი მისამართის უკან ჩნდება, ამ მისამართის გამორიცხვა ყველას ათავისუფლებს, რაც გაცილებით ფართოა, ვიდრე გამოძიების დაწყებული ერთი აღმოჩენა.
შეამოწმეთ ეფექტური ფარგლები და არა შევსებული ფორმა, და წესის გვერდით ჩაწერეთ ინციდენტის იდენტიფიკატორი. მიზეზის გარეშე გამონაკლისი მუდმივ პოლიტიკად იქცევა, და შემდეგ მიმომხილველს არ აქვს გზა იცოდეს, ჯერ კიდევ მოქმედებს თუ არა.
ხელახლა გამოსცადეთ ოპერაცია და საზღვარი
გაიმეორეთ იგივე უვნებელი მონაცემთა ბაზის ოპერაცია და დარწმუნდით, რომ კავშირი სრულდება, შემდეგ დარწმუნდით, რომ დაუკავშირებელი ამოცნობები კვლავ ირთვება ტესტში, რომელიც მათ უნდა გამოიწვიოს. კავშირის აღდგენა ერთი მიღების კრიტერიუმია; განზრახ საზღვრის შენარჩუნება — მეორე.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"ჩაწერეთ, რა გამოირიცხა, რატომ და როდის გადახედოთ ამას შემდეგი ხელმოწერის განახლების ან აპლიკაციის განახლების შემდეგ. გრაფიკით ხელახლა წაკითხული ჩახშობა საინჟინრო გადაწყვეტილებაა; ის, რაც არავის ახსოვს, ნდობის საზღვრის ნელი გაფართოებაა.