Ką darbo VPN šliuzas gali matyti apie tai, kur esate

Adresas, kurį svetainė mato po to, kai prisijungiate prie darbo VPN, nėra tas adresas, kurį darbo šliuzas matė prisijungimo metu. Šliuzas priima įeinančią tunelio sesiją iš bet kurio tinklo, kuriame yra jūsų nešiojamasis kompiuteris, ir šis šaltinis jam matomas dar prieš atsirandant bet kokiam tuneliuojamam srautui. Tai, kad naršyklė vėliau praneša apie įmonės išėjimą, neištrina ankstesnio stebėjimo, nes tai dviejų skirtingų dalykų stebėjimai. Supratimas, kuris yra kuris, išsprendžia didžiąją dalį ginčo apie tai, ką darbdavys gali ir ko negali daryti išvadų.

Du adresai, du skirtingi stebėjimai

Mechanizmas yra lizdas, o ne politika. Kai jūsų klientas atidaro tunelį, jis siunčia paketus iš vietinio adreso į šliuzo viešąjį adresą, o šliuzo branduolys užfiksuoja to srauto šaltinį. Tas šaltinis yra tinklo galinis taškas, kurį jūsų teikėjas priskyrė ryšiui tuo metu.

Už namų maršrutizatoriaus šaltinis yra maršrutizatoriaus viešasis adresas po NAT. Mobiliajame tinkle tai gali būti operatoriaus lygmens NAT adresas, tuo pačiu metu bendrinamas su daugybe kitų abonentų, todėl du nesusiję žmonės gali atrodyti atėję iš tos pačios vietos. Įmonės svečių tinkle tai to tinklo išėjimas. Bet kuriuo atveju šliuzas sužino adresą, prievadą ir laiko žymą, o adresas priklauso tinklo operatoriui, o ne asmeniui.

Ką šliuzas iš tikrųjų užrašo

Tai, kas vėliau užrašoma, yra atskiras klausimas nuo to, kas techniškai matoma. Šliuzas gali registruoti ryšį, autentifikavimo tapatybę ir priskirtą tunelio adresą, arba neužrašyti beveik nieko, išskyrus sesijos būseną. Saugojimas, eksportas į SIEM ir koreliacija su paskyra yra diegimo sprendimai, ir nė vienas jų neišplaukia iš to, kad šaltinis buvo stebimas.

Traktuokite matomumą ir saugojimą kaip dvi ašis. Paslauga gali matyti viską ir nieko nesaugoti, arba matyti mažai ir viską perduoti toliau.

Praktinė pasekmė ta, kad negalite samprotauti apie darbdavio įrašus pagal įdiegtą klientą. Paklauskite, ką paslauga sukonfigūruota rinkti ir kiek laiko, ir tikėkitės, kad atsakymas bus politikos dokumentas, o ne techninė garantija. Verta ir VPN šliuzą atskirti nuo viso kito valdomame įrenginyje, nes galinio taško programinė įranga turi savo galimybes ir savo įrašus. Asmeninis VPN keičia maršrutą; jis nekeičia to, ką gali stebėti jau veikianti programinė įranga.

Ką IP duomenų bazė gali ir ko negali pasakyti

IP geolokacijos duomenų bazė paima tą adresą ir grąžina laukus: šalį, regioną, miestą, pašto kodą, platumą ir ilgumą, taip pat tikslumo spindulį, kai tiekėjas jį pateikia. Tie laukai yra įverčiai, gauti iš registracijos duomenų, tinklo topologijos ir išmatuoto vėlavimo, ir jie įvairiai prastėja kiekviename lygmenyje. Atsakymas apie šalį gali būti tvirtas, tuo tarpu atsakymas apie miestą yra spėjimas.

Pačios MaxMind tikslumo gairės aiškiai kalba apie čia svarbų skirtumą: rasti VPN serverį nėra rasti jo naudotojus, o duomenys negali identifikuoti namų ūkio, asmens ar gatvės adreso. Skaitykite tikslumo spindulį ir pasitikėjimo laukus ten, kur produktas juos rodo, o trūkstamus duomenis laikykite trūkstamais, o ne numatytąja verte. Smailė žemėlapyje yra pateikimo pasirinkimas, o ne matavimas. Registracijos įrašai ir atvirkštinis DNS yra dar viena įrodymų rūšis: whois 203.0.113.5 pasako, kuris operatorius turi paskirstymą, o dig +short -x 203.0.113.5 pasako, kaip operatorius jį pavadino, ir nė vienas nėra teiginys apie tai, kur stovėjo žmogus.

Įrašai, kurie nėra keičiami

Tai pjauna į abi puses, todėl tai prastas pagrindas kategoriškam sprendimui. Įvertis, atitinkantis patvirtintą regioną, neįrodo buvimo. Neatitikimas pats savaime neįrodo apgaulės.

Nuotolinio darbo peržiūra, kuri remiasi viena paieška, atsako į kitą klausimą nei užduotas. Jai reikia konteksto: kurias vietas leidžia susitarimas, ką asmuo nurodė ir ar sutampa kiti įrodymai. Tai valdymo procesas su techninėmis įvestimis, o ne techninis nuosprendis.

Kiti įrašai, kuriuos organizacija gali turėti, nėra keičiami su šaltinio adresu. Laiko juostos nustatymas yra įrenginio nuostata, kurią gali pakeisti bet kas; paskyros įvykis užfiksuoja, kad buvo sesija, o ne kur; įrenginio vietos nuskaitymas iš galinio taško programinės įrangos yra kitas jutiklis, su kitais leidimais ir kitais klaidų režimais. Manyti, kad kiekvienas darbdavys renka visus juos, taip pat klaidinga, kaip manyti, kad nerenkamas nė vienas. Naudinga disciplina yra įvardyti įrašą, jo savininką ir jo klaidų režimą prieš traktuojant jį kaip ko nors įrodymą.

Kas išplaukia darbo susitarimui

Dėl savo susitarimų klausimas yra tai, ką organizacija renka ir kurias darbo vietas leidžia. Tai du atsakymai iš dviejų skirtingų verslo dalių.

Šaltinio IP rodymas negali išspręsti leidimo dirbti iš vietos, o maršruto keitimas nepakeičia susitarimo. Jei politika neaiški, produktyvus žingsnis yra paklausti, o ne optimizuoti tinklo kelią. Techniniai apėjimai paprastai sukuria būtent tą įrašą, kuris atrodo kaip slėpimas.

Apginamas techninis teiginys yra siauras, ir verta jį tokį palikti: šliuzas stebi įeinančio ryšio tinklo kilmę, geolokacijos duomenų bazė gali įvertinti vietą tai kilmei, o bet koks teiginys apie asmens fizinę padėtį reikalauja įrodymų, viršijančių abu. MaxMind tikslumo gairės yra nuoroda, ką tie įverčiai pagrindžia. Viskas, kas toliau, yra politikos klausimas techniniu kostiumu.