Неліктен ортақ VPN шығысы сіз тудырмаған кіру ескертулерін тудырады
Кіруді блоктау әдетте тәуекел ұпайы, тоннеліңіз туралы үкім емес. Ортақ шығыстар сол ұпайға тағы кімнің кіретінін және бұл оларға қанша тұратынын өзгертеді.
VPN арқылы таныс сайтты ашып, қосымша тексеруге тап болсаңыз, азғырар түсініктеме — тоннель анықталды. Бірдеңе анықталды, бірақ ол сіз емес едіңіз. Сайт бірнеше сигналды бағалады, олардың бірі — бастапқы мекенжай, және бұл мекенжай бір минут бұрын сәтсіз кірулер жасаған бейтаныстармен бөлісіледі. Бұл шешімді өз байланысыңыз туралы үкім деп оқу — ұпайдың не үшін екенін дұрыс түсінбеу.
Бастапқы мекенжай нені шеше алады және нені шеше алмайды
IP мекенжайы желі арқылы өтетін жолды белгілі бір сәтте сипаттайды. Ол адамды, құрылғыны немесе тіпті жалғыз аккаунтты анықтамайды, ал оператор деңгейіндегі NAT немесе жүктелген VPN пулы жағдайында бір уақытта мыңдаған байланыссыз сессияны білдіруі мүмкін. Мекенжайды жеке бас ретінде қарастыратын сайт шын мәнінде оны бедел ретінде қарастырады, ал бұл статистикалық тұжырым, факт емес.
Екі адам бір шығысты бөлісіп, қарама-қарсы дәлелдер келтіре алады: біреуі екінші фактормен сәтті кіреді, екіншісі қырық құпиясөзді сынайды. Мекенжай бірдей, сондықтан тек мекенжайға негізделген ешбір ереже оларды ажырата алмайды, және қандай реакция туындаса да, ол екеуіне де қатысты.
Бұл мекенжайларды елемеуге дәлел емес. Бұл сигналдың нені өлшейтінін есте сақтауға дәлел, өйткені VPN кірулерінің айналасындағы таңғаларлық мінез-құлықтың көбі дұрыс емес бақылаудан емес, бақылауды дұрыс емес деңгейде қолданудан туындайды.
Неліктен шығысты блоктау бейтаныстарды жазалайды
Мекенжай деңгейіндегі блокты енгізу арзан, нысанаға алу қымбат. Оның әсер ету радиусы — сол мекенжайдың артындағы әрбір сессия, сондықтан ортақ мекенжайлар мен NAT мінез-құлқының операциялық құжаттамада өз тарихы бар: дәл сол логика IETF-тің ортақ бастапқы мекенжайлар және мекенжайға негізделген сүзудің жанама әсерлері туралы жұмысында кездеседі.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Блок тудыратын екі сәтсіздікті қарастырыңыз. Сол шығыстың артындағы заңды клиентке қызметтен бас тартылады және ол теріс пайдаланудан қымбатырақ қолдау билетін ашады. Нақты шабуылдаушы мыңдаған пулдағы келесі шығысқа көшеді және қайта қосылудан басқа ештеңе жұмсамай жалғастырады.
Пропорционалдылық — жетіспейтін қадам. Қайталанатын сәтсіз кірулер, автоматтандырылған сұраныстардың жарылысы және аутентификацияланған рұқсат бұзуы — үш түрлі оқиға, және тек екіншісі ғана мекенжай пішінді мәселе болып көрінеді. Сол сайт көлеміндегі желілік тыйымды үшеуіне де қолдану — қауіпсіздік бақылауының қолдау кезегіне айналу жолы.
Шешімді дәлелдер тұрған жерге қойыңыз
Аккаунт деңгейіндегі бақылаулар аккаунтты мекенжайлар бойымен қадағалайды, бұл сізге шын мәнінде маңызды субъектіге сәйкес келеді. Жылдамдық шектеуі, қайталанатын сәтсіздіктерден кейінгі күту кезеңдері және сезімтал әрекеттер үшін сатылы аутентификация — бәрі аккаунтқа немесе әрекетке әсер етеді, желілік жолға емес. Бұл сіз шын мәнінде қорғайтын субъектіге жақсырақ сәйкес келеді. Ол сондай-ақ шабуылдаушының жаңа шығыс мекенжайын іздеу ынтасын жояды.
NIST-тің аутентификация нұсқаулығы бұларды тәуекелді бағалаудың кірістері ретінде қарастырады және сигналдар қатарында мекенжайды, геолокацияны және сұраныс уақытын атайды, бұл дәл алуға тұрарлық шеңбер: сигнал шешімді ақпараттандырады, ол аутентификаторды алмастырмайды. Бұл тізімді тыйым салынатын заттар мәзірі ретінде емес, кірістер ретінде оқыңыз. Аутентификатор әлі де дәлелді ұсынады, ал басқа сигналдар оның айналасына қанша үйкеліс қоюды ғана шешеді.
Екі дизайн шектеуі аккаунт деңгейіндегі тәсілдің өзінің іркілісіне айналуына жол бермейді. Жылдамдық шектеулеріне қауіпсіз қарау жолы қажет, сонда пайдаланушы тіркелгі деректерін жарияламай-ақ қате жіктеуді хабарлай алады, ал сатылы сынақтарға расталмаған қолдау байланысына берілген құпиясөзбен немесе бір реттік кодпен жауап беруге болмайды.
Әділ саясат сырттан қалай көрінеді
Әр бақылаудың қандай шешімді қолдайтынын жазыңыз, содан кейін бақылаудың егжей-тегжейлігі сәйкес келетінін тексеріңіз. Мекенжай бақылаулары желіден келетін трафик туралы сұрақтарға жауап береді; аккаунт бақылаулары аккаунт туралы сұрақтарға жауап береді; қолданба оқиғалары аутентификациядан кейінгі мінез-құлық туралы сұрақтарға жауап береді. Үшеуін де атайтын саясат аудитке жарамды, ал тек VPN трафигін атайтын саясат олай емес.
Содан кейін ережелер санын емес, нәтижені өлшеңіз. Рұқсат етілмеген әрекеттер азаюы керек, заңды пайдаланушылар қолдау көрсетілген жолды сақтауы керек, ал мың кіруге шаққандағы қолдау байланыстарының саны өспеуі керек. Бірінші санды жақсартып, қалған екеуін бұзатын блок мәселені шешпей, орнын ауыстырды.
VPN қосылымдарын қабылдау және теріс пайдалану бақылауын қолдану — үйлесімді мақсаттар. Жұмыс істейтін нұсқа бастапқы мекенжайды бірнеше кірістің бірі ретінде қарастырады, дәлелдерге сәйкес ең тар бақылауды қолданады және қате жіктелген адамға адал жол қалдырады. Сәтсіз нұсқа мекенжайды күдікті ретінде қарастырып, оны саясат деп атайды.