Kodėl VPN taisyklė negali sustabdyti vieno failo įkėlimo
Pasiekti paslaugą ir kontroliuoti, kurie failai iš jos išeina, yra du reikalavimai. Padėkite taisyklę ten, kur failas matomas: paštas, programa ar galinio taško agentas.
Maža komanda prašo nuotolinės prieigos prie savo darbo sistemų ir tuo pačiu kvėpavimu prašo, kad tam tikri priedai nustotų palikti įmonę. Abu prašymai skamba kaip vienas VPN pakeitimas. Tai du reikalavimai su skirtingais vykdymo taškais, o taisyklė, tenkinanti pirmąjį, nieko nedaro antrajam. Pirmiausia įvardykite veiksmą ir duomenis, tada pasirinkite komponentą, kuris tikrai gali juos matyti.
Vienas prašymas, du reikalavimai
Pirmasis reikalavimas susijęs su pasiekiamumu: kurie naudotojai ir įrenginiai gali atidaryti ryšį su kuria paslauga. Antrasis – su elgsena po to, kai tas ryšys egzistuoja: kuriuos dokumentus galima pridėti, įklijuoti ar įkelti. Tunelis veikia pirmąjį ir pagal konstrukciją yra aklas antrajam.
IP lygio kontrolė persiunčia paketus. Ji neanalizuoja kelių dalių įkėlimo, netikrina PDF ir nenusprendžia, ar skaičiuoklėje yra sąskaitų numerių. To tikėtis iš jos yra ne konfigūracijos klaida, o kategorijos klaida.
Pasakykite reikalavimą garsiai tokia forma, prieš ieškodami produkto. „Naudotojai gali pasiekti failų portalą“ ir „naudotojai negali įkelti klientų sąrašų į failų portalą“ yra skirtingi sakiniai, ir tik antrasis apibūdina turinio politiką.
Pasirinkite komponentą, kuris mato failą
Vykdymas turi įvykti ten, kur failas yra įskaitomas. El. paštui tai dažniausiai pašto platforma arba šliuzas, kurie jau tvarko priedus ir gali juos įvertinti prieš pristatymą. Naršyklės įkėlimams į patvirtintą paslaugą pati programa gali būti vienintelė šalis, kuri mato turinį. Valdomo nešiojamojo kompiuterio, kopijuojančio failus į keičiamas laikmenas, atveju operaciją mato galinio taško agentas.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Kai kurie komerciniai nuotolinės prieigos paketai sujungia galinio taško agentą, žiniatinklio kontrolę ir duomenų nutekėjimo prevencijos modulį. Tie komponentai gali vykdyti turinio politiką, bet gebėjimas priklauso moduliui, o ne tuneliavimui. Perskaitykite, ką paketas iš tikrųjų apima, prieš žadėdami rezultatą.
Naudingas palyginimo modelis yra „Purview“ duomenų nutekėjimo prevencijos apžvalga iš „Microsoft“: ji apibūdina politikas pagal slaptos informacijos tipus, vietas ir veiklas. Ta leksika yra apie turinį ir veiksmus, o ne apie IP priešdėlius.
TLS išlieka per tunelį, todėl planuokite tai
Programos šifravimas derinamas tarp kliento ir paslaugos, o VPN tunelis perduoda tuos baitus jų neatidarydamas. Todėl šliuzas kelyje automatiškai neįgyja gebėjimo klasifikuoti priedą, kad ir kokią maršruto dalį jis valdytų.
Norėdami tikrinti turinį perduodant, jums reikia komponento, kuris užbaigia TLS patikimu sertifikatu, ir tai yra svarbus architektūrinis sprendimas su savo privatumo ir eksploatavimo pasekmėmis. Tai ne VPN profilio žymimasis langelis. Klientai turi pasitikėti tikrinimo sertifikatu, programos, kurios prisega sertifikatus, suluš, o operatorius įgyja galimybę skaityti srautą, kurio anksčiau negalėjo. Tai priežastys, kodėl šis sprendimas priklauso saugumo savininkui, o ne tam, kas valdo tunelį.
Todėl sąžiningas atsakymas į „ar VPN gali užblokuoti šį įkėlimą“ paprastai yra ne, po kurio pateikiama konkreti alternatyva. Alternatyva gali būti programos lygio apribojimai, pašto taisyklė ar galinio taško politika, ir kiekviena jų turi savininką, kuris gali ją pakeisti.
Parašykite priėmimo testą prieš taisyklę
Turinio taisyklei reikia dviejų pavyzdžių, o ne vieno: leistino veiksmo, kuris turi toliau veikti, ir uždrausto veiksmo, kuris turi būti sustabdytas. Išbandykite abu iš programų ir įrenginių, esančių aprėptyje, nes politika, veikianti tik vienoje naršyklėje, nėra politika, kurios kas nors prašė.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadPirmąjį prašymą turėtų atmesti komponentas, kuriam priklauso taisyklė, o antrasis turėtų pavykti. Jei pavyksta abu, kontrolė nėra kelyje. Jei nepavyksta abu, jūs sulaužėte paslaugą, o ne apsaugojote ją, ir tai yra dažnesnis rezultatas taisyklės, parašytos be leistino pavyzdžio.
Iš anksto nuspręskite, ką mato naudotojas, kas gali suteikti išimtį ir kur administratorius vėliau patvirtina sprendimą. Užblokuotas įkėlimas be pranešimo sukuria palaikymo bilietą, o taisyklė, kurios niekas negali audituoti, sukuria ginčą. Abiejų galima išvengti vienu dokumentacijos sakiniu, parašytu prieš politikai įsigaliojant.
Galiausiai laikykite du reikalavimus atskiruose bilietuose su atskirais savininkais. Jų sujungimas po „VPN“ garantuoja, kad tinklo komandos bus paprašyta išspręsti turinio problemą ir kad turinio problema bus paskelbta išspręsta, kai tunelis pakils.