IPS가 VPN을 통한 데이터베이스를 차단했습니다: 예외 범위를 정하십시오
VPN은 내부 데이터베이스 트래픽을 검사에서 면제하지 않습니다. 선택하기 전에 시그니처 억제, 출처 제외, 범주 비활성화를 비교하십시오.
VPN 내부의 데이터베이스 연결은 여전히 IPS에 의해 차단되며, 이벤트 로그가 원인을 알려 주고, 가장 빠른 복구는 예외처럼 보입니다. 그 전에 터널이 실제로 무엇을 바꾸는지 보십시오. 터널은 양 끝 사이의 트래픽을 보호한 다음, 일반 내부 패킷을 네트워크 내부를 검사하는 대상에 그대로 넘기는데, 시그니처가 반응한 곳이 바로 그 지점입니다. 터널은 면제가 아니며, 탐지가 자동으로 틀린 것도 아닙니다.
역캡슐화 지점에서 검사가 다시 시작됩니다
터널을 떠난 트래픽은 데이터베이스 호스트로 향하는 일반 IP 패킷으로 도착합니다. 그 경로의 어떤 침입 방지 장비든 자체 정책으로 이를 평가하므로, 암호화 링크를 통과한 연결도 내부 네트워크용으로 작성된 규칙에 의해 여전히 버려질 수 있습니다.
엔드투엔드 TLS는 그 가시성의 한계입니다. 클라이언트가 데이터베이스 서버의 인증서를 검증하면, 검사 장비는 연결을 처리하지만 애플리케이션 페이로드를 읽을 수 없으므로 그곳의 탐지는 쿼리 텍스트가 아니라 메타데이터와 일치합니다. 이 점을 빼먹으면 차단된 모든 연결이 심층 검사의 증거처럼 보입니다. 두 사실이 모두 중요한데, 장비는 눈멀지 않았고 모든 것을 읽지도 않습니다.
탐지는 기본적으로 오탐이 아닙니다
시그니처는 패턴을 잡기 위해 존재하며, 예상된 업무 트래픽도 실제로 취약한 코드 경로를 지날 수 있습니다. 먼저 기록된 이벤트를 타임스탬프, 내부 출처와 목적지, 포트, 시그니처 식별자, 취해진 조치라는 애플리케이션 작업과 맞추십시오. 이 여섯 필드는 경고가 실패한 연결의 것인지 아니면 마침 바빴던 이웃의 것인지도 알려 줍니다.
서버에 몇 개의 패킷이 도착한다고 IPS가 원인이라고 단정할 수 없고, 일치하는 시그니처가 클라이언트가 정당함을 증명하지도 않습니다. 두 해석 모두 이벤트가 클라이언트 자체 보고와 상관될 때까지는 추측입니다. 상관된 이벤트가 증거이며, 데이터베이스 버전도 판단의 일부입니다.
세 가지 예외 범위와 각각이 제거하는 것
선택지는 검사를 얼마나 끄는지에 따라 다르며, 그 차이는 설정 인터페이스가 시사하는 것보다 큽니다. 시그니처 억제는 일치하는 트래픽에 대해 규칙 하나를 제거합니다. 출처 제외는 그 주소에서 오는 모든 것의 검사를 제거합니다. 범주 비활성화는 규칙 집합을 제거하며, 때로는 정책 전체에 걸칩니다.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
제품이 표현할 수 있다면 항상 첫 번째 행을 선호하십시오. 표현할 수 없으면 넓은 예외를 정밀한 것처럼 제시하지 말고 한계를 상부로 올려, 승인하는 사람이 그 차이를 문서로 보게 하십시오.
설정했다고 생각하는 범위
변환은 예외가 포괄하는 범위를 바꿉니다. 여러 VPN 클라이언트가 하나의 변환된 주소 뒤에 나타나면, 그 주소를 제외하는 것은 모두를 면제하며, 이는 조사를 시작한 단일 발견보다 훨씬 넓습니다.
작성한 양식이 아니라 실제 범위를 확인하고, 규칙 옆에 사건 식별자를 기록하십시오. 이유 없는 예외는 영구 정책이 되며, 다음 검토자는 그것이 여전히 적용되는지 알 방법이 없습니다.
작업과 경계를 다시 테스트하십시오
같은 무해한 데이터베이스 작업을 반복해 연결이 완료되는지 확인하고, 그다음 무관한 탐지가 이를 유발해야 하는 테스트에서 여전히 발생하는지 확인하십시오. 연결 복구는 하나의 인수 기준이고, 의도한 경계 유지는 다른 하나입니다.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"무엇을 예외로 두었는지, 왜, 그리고 다음 시그니처 업데이트나 애플리케이션 업그레이드 후 언제 다시 볼지를 적으십시오. 일정에 따라 다시 읽는 억제는 엔지니어링 결정이며, 아무도 기억하지 못하는 억제는 신뢰 경계의 느린 확장입니다.