IPS užblokavo duomenų bazę per VPN: apibrėžkite išimties apimtį
VPN neatleidžia vidinio duomenų bazės srauto nuo tikrinimo. Prieš rinkdamiesi palyginkite parašo slopinimą, šaltinio išskyrimą ir kategorijos išjungimą.
Duomenų bazės ryšiai VPN viduje vis dar blokuojami IPS, įvykių žurnalas nurodo priežastį, o greičiausias taisymas atrodo kaip išimtis. Prieš tai atkreipkite dėmesį, ką tunelis iš tikrųjų keičia. Jis apsaugo srautą tarp savo galų ir tada perduoda paprastus vidinius paketus tam, kas tikrina tinklo vidų, o būtent ten parašas ir suveikė. Tunelis nėra atleidimas, o aptikimas nėra automatiškai klaidingas.
Dekapsuliavimas yra vieta, kur tikrinimas atsinaujina
Srautas, išeinantis iš tunelio, atvyksta kaip įprasti IP paketai, adresuoti duomenų bazės mazgui. Bet kuris įsibrovimo prevencijos įrenginys tame kelyje vertina juos pagal savo politiką, todėl ryšys, kirtęs šifruotą jungtį, vis tiek gali būti atmestas taisyklės, parašytos vidiniam tinklui.
TLS nuo galo iki galo yra to matomumo riba. Kai klientas patikrina duomenų bazės serverio sertifikatą, tikrinimo įrenginys apdoroja ryšį, bet negali perskaityti programos turinio, todėl aptikimas ten atitinka metaduomenis, o ne užklausos tekstą. Nepaisykite šios detalės ir kiekvienas užblokuotas ryšys atrodys kaip giluminio tikrinimo įrodymas. Abu faktai svarbūs: įrenginys nėra aklas, ir jis taip pat neskaito visko.
Aptikimas nėra klaidingai teigiamas pagal nutylėjimą
Parašas egzistuoja modeliui pagauti, o numatomas verslo srautas vis tiek gali eiti tikrai pažeidžiamu kodo keliu. Pirmiausia suderinkite įrašytą įvykį su programos operacija: laiko žyma, vidinis šaltinis ir paskirties vieta, prievadai, parašo identifikatorius ir atliktas veiksmas. Tie šeši laukai taip pat pasako, ar įspėjimas priklauso nepavykusiam ryšiui, ar kaimynui, kuris atsitiktinai buvo užimtas.
Tai, kad keli paketai pasiekia serverį, nenurodo IPS kaip priežasties, o atitinkantis parašas neįrodo, kad klientas yra teisėtas. Abu skaitymai yra spėjimai, kol įvykis susiejamas su paties kliento ataskaita. Susietas įvykis yra įrodymas, o duomenų bazės versija yra sprendimo dalis.
Trys išimties apimtys ir ką kiekviena pašalina
Parinktys skiriasi tuo, kiek tikrinimo jos išjungia, ir skirtumas didesnis, nei rodo nustatymo sąsaja. Parašo slopinimas pašalina vieną taisyklę srautui, kurį atitinka. Šaltinio išskyrimas pašalina viso to, kas ateina iš to adreso, tikrinimą. Kategorijos išjungimas pašalina taisyklių šeimą, kartais visoje politikoje.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Pirmenybę teikite pirmai eilutei, kai produktas gali ją išreikšti. Kai negali, eskaluokite apribojimą, o ne pateikite plačią išimtį kaip tikslią; asmuo, kuris ją tvirtina, turėtų matyti skirtumą raštu.
Apimtis, kurią, jūsų manymu, nustatėte
Vertimas keičia, ką apima išimtis. Kai keli VPN klientai pasirodo už vieno išversto adreso, to adreso išskyrimas juos visus atleidžia, o tai yra daug platesnė nei viena išvada, pradėjusi tyrimą.
Tikrinkite veiksmingą apimtį, o ne formą, kurią užpildėte, ir šalia taisyklės įrašykite incidento identifikatorių. Išimtis be priežasties tampa nuolatine politika, o kitas peržiūrėtojas neturi būdo sužinoti, ar ji dar taikoma.
Dar kartą išbandykite operaciją ir ribą
Pakartokite tą pačią nekenksmingą duomenų bazės operaciją ir patvirtinkite, kad ryšys baigiamas, tada patvirtinkite, kad nesusiję aptikimai vis dar suveikia teste, kuris turėtų juos sukelti. Ryšio atkūrimas yra vienas priėmimo kriterijus; numatytos ribos išlaikymas yra kitas.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Užrašykite, kas buvo išimta, kodėl ir kada tai peržiūrėti po kito parašo atnaujinimo ar programos atnaujinimo. Slopinimas, kuris reguliariai perskaitomas, yra inžinerinis sprendimas; tas, kurio niekas neprisimena, yra lėtas pasitikėjimo ribos plėtimas.