რატომ ვერ შეაჩერებს VPN-ის წესი ერთი ფაილის ატვირთვას
სერვისამდე მისვლა და იმის კონტროლი, რომელი ფაილები გადის მისგან, ორი მოთხოვნაა. წესი იქ დადეთ, სადაც ფაილი ჩანს: ფოსტა, აპლიკაცია ან ბოლო წერტილის აგენტი.
პატარა გუნდი ითხოვს დისტანციურ წვდომას თავის სამუშაო სისტემებზე და იმავე ამოსუნთქვაზე ითხოვს, რომ გარკვეულმა დანართებმა კომპანიის დატოვება შეწყვიტოს. ორივე მოთხოვნა ერთი VPN ცვლილებას ჰგავს. ეს ორი მოთხოვნაა სხვადასხვა აღსრულების წერტილით, და პირველს რომ აკმაყოფილებს, ის წესი მეორესთვის არაფერს აკეთებს. დაიწყეთ მოქმედების და მონაცემების დასახელებით, შემდეგ აირჩიეთ ის კომპონენტი, რომელსაც ნამდვილად შეუძლია მათი ნახვა.
ერთი მოთხოვნა, ორი პირობა
პირველი პირობა ხელმისაწვდომობას ეხება: რომელი მომხმარებლები და მოწყობილობები შეიძლება დაუკავშირდნენ რომელ სერვისს. მეორე ეხება ქცევას მას შემდეგ, რაც ეს კავშირი არსებობს: რომელი დოკუმენტები შეიძლება დაერთოს, ჩაისვას ან აიტვირთოს. გვირაბი პირველზე მოქმედებს და კონსტრუქციით ბრმაა მეორის მიმართ.
IP დონის კონტროლი პაკეტებს გადასცემს. ის არ აანალიზებს მრავალნაწილიან ატვირთვას, არ ამოწმებს PDF-ს და არ წყვეტს, შეიცავს თუ არა ცხრილი ანგარიშის ნომრებს. ამის მისგან მოლოდინი კონფიგურაციის შეცდომა არ არის; ეს კატეგორიის შეცდომაა.
პროდუქტის ძებნამდე პირობა ხმამაღლა თქვით ამ ფორმით. «მომხმარებლებს შეუძლიათ ფაილების პორტალამდე მისვლა» და «მომხმარებლებს არ შეუძლიათ მომხმარებლების სიების ატვირთვა ფაილების პორტალზე» სხვადასხვა წინადადებაა, და მხოლოდ მეორე აღწერს შიგთავსის პოლიტიკას.
აირჩიეთ კომპონენტი, რომელიც ხედავს ფაილს
აღსრულება უნდა მოხდეს იქ, სადაც ფაილი წაკითხვადია. ელფოსტისთვის ეს ჩვეულებრივ საფოსტო პლატფორმა ან კარიბჭეა, რომელიც უკვე ამუშავებს დანართებს და შეუძლია მათი შეფასება მიწოდებამდე. დამტკიცებულ სერვისში ბრაუზერიდან ატვირთვისთვის თავად აპლიკაცია შეიძლება იყოს ერთადერთი მხარე, რომელიც ხედავს შიგთავსს. მართული ლეპტოპისთვის, რომელიც ფაილებს მოსახსნელ მატარებელზე აკოპირებს, ბოლო წერტილის აგენტი ხედავს ოპერაციას.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
ზოგიერთი კომერციული დისტანციური წვდომის პაკეტი აერთიანებს ბოლო წერტილის აგენტს, ვებ კონტროლს და მონაცემთა გაჟონვის პრევენციის მოდულს. ამ კომპონენტებს შეუძლიათ შიგთავსის პოლიტიკის აღსრულება, მაგრამ უნარი მოდულს ეკუთვნის და არა გვირაბიზაციას. წაიკითხეთ, რას შეიცავს პაკეტი სინამდვილეში, სანამ შედეგს დაჰპირდებით.
შედარებისთვის სასარგებლო მოდელია Microsoft-ის Purview-ის მონაცემთა გაჟონვის პრევენციის მიმოხილვა ის პოლიტიკებს აღწერს მგრძნობიარე ინფორმაციის ტიპებით, მდებარეობებით და აქტივობებით. ეს ლექსიკა შიგთავსსა და მოქმედებებზეა, არა IP პრეფიქსებზე.
TLS გვირაბს გადაურჩება, ამიტომ დაგეგმეთ ეს
აპლიკაციის დაშიფვრა კლიენტსა და სერვისს შორის მოწესრიგდება, და VPN გვირაბი ამ ბაიტებს გადაიტანს მათი გახსნის გარეშე. ამიტომ გზაზე მდებარე კარიბჭე ავტომატურად არ იძენს დანართის კლასიფიკაციის უნარს, რამდენი წილიც არ უნდა ჰქონდეს მარშრუტში.
გზაში შიგთავსის შესამოწმებლად გჭირდებათ კომპონენტი, რომელიც TLS-ს სანდო სერტიფიკატით ამთავრებს, და ეს მნიშვნელოვანი არქიტექტურული გადაწყვეტილებაა თავისი კონფიდენციალურობისა და ოპერაციული შედეგებით. ეს არ არის VPN პროფილის მოსანიშნი უჯრა. კლიენტებმა უნდა ენდონ შემოწმების სერტიფიკატს, სერტიფიკატების დამაგრებული აპლიკაციები გატყდება, და ოპერატორი იძენს იმ ტრაფიკის წაკითხვის უნარს, რომელსაც ადრე ვერ კითხულობდა. ეს არის მიზეზები, რის გამოც ეს გადაწყვეტილება უსაფრთხოების მფლობელს ეკუთვნის და არა გვირაბის მმართველს.
ამიტომ «შეუძლია VPN-ს ამ ატვირთვის დაბლოკვა» კითხვაზე პატიოსანი პასუხი ჩვეულებრივ არაა, და მას კონკრეტული ალტერნატივა მოჰყვება. ალტერნატივა შეიძლება იყოს აპლიკაციის დონის შეზღუდვები, საფოსტო წესი ან ბოლო წერტილის პოლიტიკა, და თითოეულს ჰყავს მფლობელი, რომელსაც შეუძლია მისი შეცვლა.
დაწერეთ მიღების ტესტი წესამდე
შიგთავსის წესს ორი მაგალითი სჭირდება და არა ერთი: ნებადართული მოქმედება, რომელიც უნდა გაგრძელდეს, და აკრძალული მოქმედება, რომელიც უნდა შეჩერდეს. ორივე შეამოწმეთ არეალში მყოფი აპლიკაციებიდან და მოწყობილობებიდან, რადგან პოლიტიკა, რომელიც მხოლოდ ერთ ბრაუზერში მუშაობს, არ არის ის პოლიტიკა, რაც ვინმემ ითხოვა.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadპირველი მოთხოვნა უნდა უარყოს იმ კომპონენტმა, რომელიც წესს ფლობს, და მეორე უნდა წარმატდეს. თუ ორივე წარმატდა, კონტროლი გზაზე არ არის. თუ ორივე ვერ შედგა, თქვენ დაარღვიეთ სერვისი და არ დაიცავით, რაც უფრო ჩვეულებრივი შედეგია ნებადართული მაგალითის გარეშე დაწერილი წესისა.
წინასწარ გადაწყვიტეთ, რას ხედავს მომხმარებელი, ვის შეუძლია გამონაკლისის მიცემა და სად ადასტურებს ადმინისტრატორი გადაწყვეტილებას შემდეგ. შეტყობინების გარეშე დაბლოკილი ატვირთვა მხარდაჭერის ბილეთს წარმოქმნის, და წესი, რომელსაც ვერავინ აუდიტებს, კამათს წარმოქმნის. ორივეს თავიდან აცილება შესაძლებელია ერთი წინადადების დოკუმენტაციით, რომელიც პოლიტიკის ძალაში შესვლამდე დაიწერება.
და ბოლოს, ორი მოთხოვნა ცალკე ბილეთებში ცალკე მფლობელებით შეინახეთ. მათი «VPN»-ის ქვეშ გაერთიანება იძლევა გარანტიას, რომ ქსელის გუნდს შიგთავსის პრობლემის გადაჭრას სთხოვენ, და რომ შიგთავსის პრობლემა გადაწყვეტილად გამოცხადდება, როცა გვირაბი ამოვა.