IPS huet eng Datebank iwwer VPN blockéiert: de Beräich vun der Ausnam festleeën
E VPN befreit den internen Datebankverkéier net vun der Inspektioun. Vergläicht Ënnerdréckung vu Signatur, Ausgrenze vun der Quell an Deaktivéiere vun enger Kategorie, ier Dir wielt.
Datebankverbindungen bannen engem VPN ginn nach ëmmer vun der IPS blockéiert, den Evenementlog nennt d’Ursaach, an déi séierst Reparatur gesäit aus wéi eng Ausnam. Dovu virun, beobacht wat den Tunnel tatsächlech ännert. Hie schützt Verkéier tëschent sengen Endpunkten an iwwerleet duerno normal bannenzeg Paketen un dat, wat den Interieur vum Netz inspizéiert, wat genee déi Plaz ass, wou d’Signatur ausgeléist huet. Den Tunnel ass keng Befreiung, an d’Detektioun ass net automatesch falsch.
D’Decapsuléierung ass d’Plaz, wou d’Inspektioun weidergëtt
Verkéier, deen en Tunnel verléisst, kënnt als gewéinlech IP-Paketen un, déi un den Datebankhost adresséiert sinn. All Apparat fir d’Veraarbechtung vun Intrusiounen op deem Wee evaluéiert se no senger eegener Politik, dofir kann eng Verbindung, déi eng verschlësselt Verbindung iwwerquiert huet, nach ëmmer duerch eng Regel verstan ginn, déi fir den internen Netz geschriwwe gouf.
End-zu-End TLS ass d’Limit vun där Visibilitéit. Wann de Client den Zertifikat vum Datebankserver verifizéiert, veraarbecht den Inspektiounsapparat d’Verbindung, kann awer d’Nutzlaascht vun der Applikatioun net liesen, sou datt eng Detektioun do mat Metadaten entsprécht an net mam Querytext. Ignoréiert Dir dëst Detail, gesäit all blockéiert Verbindung aus wéi e Beweis fir déif Inspektioun. Béid Tatsaachen zielen: den Apparat ass net blann, an hie liest och net alles.
Eng Detektioun ass net automatesch e falsche Positiv
D’Signatur existéiert, fir eng Muster ze fangen, an erwaarten Geschäftsverkéier kann nach ëmmer en tatsächlech vulnérabele Codewee duerchgoen. Maacht d’opgezeechent Evenement als éischt mat der Applikatiounsoperatioun passend: Zäitstempel, bannenzeg Quell an Destinatioun, Porten, Signaturidentifiant an déi gegraff Aktioun. Dës sechs Felder soen Iech och, ob den Alarm zu der Verbindung gehéiert, déi versot huet, oder zu engem Noper, dee just beschäftegt war.
Datt e puer Paketen den Server erreechen, identifizéiert d’IPS net als Ursaach, an eng passend Signatur beweist net, datt de Client legitim ass. Béid Liese sinn Vermutungen, bis den Evenement mat dem Bericht vum Client selwer korreléiert gëtt. Den korreléierten Evenement ass de Beweis, an d’Versioun vun der Datebank gehéiert zum Urteel.
Dräi Beräicher vun Ausnam an wat jiddwereen ewechhëlt
D’Optiounen ënnerscheeden sech doran, wéi vill Inspektioun se ofschalten, an den Ënnerscheed ass méi grouss wéi d’Interface vun der Astellung suggeréiert. D’Ënnerdréckung vun der Signatur hëlt eng Regel fir de Verkéier ewech, op deen se passt. D’Ausgrenze vun der Quell hëlt d’Inspektioun vun allem vun där Adress ewech. D’Deaktivéiere vun enger Kategorie hëlt eng Famill vu Regelen ewech, heiansdo iwwer déi ganz Politik.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Bevirzugt déi éischt Zeil, wann ëmmer de Produit se ausdrécke kann. Wann net, eskaléiert d’Limite, amplaz eng breet Ausnam als eng präzis duerzestellen; dee Mënsch, deen se gutt heescht, sollt den Ënnerscheed schrëftlech gesinn.
De Beräich, vun deem Dir mengt, Dir hätt en agestellt
D’Iwwersetzung ännert, wat eng Ausnam deckt. Wann e puer VPN-Cliente sech hannert enger iwwersater Adress weisen, befreit d’Ausgrenze vun där Adress se all, wat vill méi breet ass wéi deen eenzegen Befund, deen d’Enquête ugefaangen huet.
Préift de wirksame Beräich amplaz vum Formulaire, deen Dir ausgefëllt hutt, a notéiert den Incidentidentifiant nieft der Regel. Eng Ausnam ouni Grond gëtt eng permanent Politik, an den nächsten Iwwerpréifer huet keng Méiglechkeet ze wëssen, ob se nach gëllt.
Testt d’Operatioun an d’Grenz nach eng Kéier
Widderholl déi selwescht harmlos Datebankoperatioun a bestätegt, datt d’Verbindung ofgeschloss gëtt, duerno bestätegt, datt onverbonnen Detektiounen nach ëmmer an engem Test ausléisen, dee se sollt ausléisen. D’Konaktivitéit ze restauréieren ass ee Akzeptanzkriterium; déi virgesinn Grenz ze behalen ass dat anert.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Schreift op, wat ausgëschloss gouf, firwat, a wéini et no der nächster Signaturupdate oder Applikatiounsaktualiséierung nachzeperspektivéieren ass. Eng Ënnerdréckung, déi no engem Plang nachgelies gëtt, ass eng Ingenieursentscheedung; eng, un déi kee sech erënnert, ass eng lues Ausdehnung vun der Vertrauensgrenz.