IPS bloķēja datubāzi VPN ietvaros: noteikiet izņēmuma apjomu
VPN neatbrīvo iekšējo datubāzes trafiku no pārbaudes. Pirms izvēlēties salīdziniet paraksta nomākšanu, avota izslēgšanu un kategorijas atspējošanu.
Datubāzes savienojumi VPN iekšienē joprojām tiek bloķēti ar IPS, notikumu žurnāls nosauc cēloni, un ātrākais labojums izskatās kā izņēmums. Pirms tam ņemiet vērā, ko tunelis patiešām maina. Tas aizsargā trafiku starp saviem galiem un pēc tam nodod parastus iekšējos paketus tam, kas pārbauda tīkla iekšieni, un tieši tur paraksts iedarbojās. Tunelis nav atbrīvojums, un atklāšana nav automātiski kļūdaina.
Dekapsulācija ir vieta, kur pārbaude atsākas
Trafiks, kas iziet no tuneļa, pienāk kā parasti IP paketi, kas adresēti datubāzes resursdatoram. Jebkura ielaušanās novēršanas ierīce šajā ceļā tos novērtē saskaņā ar savu politiku, tāpēc savienojums, kas šķērsojis šifrētu saiti, joprojām var tikt atmests ar noteikumu, kas rakstīts iekšējam tīklam.
TLS no gala līdz galam ir šīs redzamības robeža. Kad klients pārbauda datubāzes servera sertifikātu, pārbaudes ierīce apstrādā savienojumu, bet nevar nolasīt lietotnes saturu, tāpēc atklāšana tur atbilst metadatiem, nevis vaicājuma tekstam. Ja šo detaļu palaižat garām, katrs bloķētais savienojums izskatīsies kā dziļas pārbaudes pierādījums. Abi fakti ir svarīgi: ierīce nav akla, un tā arī nelasa visu.
Atklāšana pēc noklusējuma nav viltus pozitīva
Paraksts pastāv, lai uztvertu modeli, un gaidītais biznesa trafiks joprojām var iet pa patiešām neaizsargātu koda ceļu. Vispirms saskaņojiet reģistrēto notikumu ar lietotnes darbību: laikspiedols, iekšējais avots un galamērķis, porti, paraksta identifikators un veiktā darbība. Šie seši lauki arī pasaka, vai brīdinājums pieder neveiksmīgajam savienojumam vai kaimiņam, kas nejauši bija aizņemts.
Tas, ka serveri sasniedz daži paketi, nenorāda IPS kā cēloni, un atbilstošs paraksts nepierāda, ka klients ir likumīgs. Abi lasījumi ir minējumi, līdz notikums tiek korelēts ar paša klienta ziņojumu. Korelētais notikums ir pierādījums, un datubāzes versija ir sprieduma daļa.
Trīs izņēmuma apjomi un ko katrs noņem
Opcijas atšķiras ar to, cik daudz pārbaudes tās izslēdz, un atšķirība ir lielāka, nekā liecina iestatījuma saskarne. Paraksta nomākšana noņem vienu noteikumu trafikam, kuram tā atbilst. Avota izslēgšana noņem visas pārbaudes no šīs adreses. Kategorijas atspējošana noņem noteikumu saimi, dažkārt visā politikā.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Dodiet priekšroku pirmajai rindai, kad vien produkts to spēj izteikt. Kad nevar, eskalējiet ierobežojumu, nevis pasniedziet plašu izņēmumu kā precīzu; personai, kas to apstiprina, būtu jāredz atšķirība rakstiski.
Apjoms, kuru, jūsuprāt, esat iestatījis
Tulkošana maina to, ko izņēmums aptver. Kad aiz vienas tulkotas adreses parādās vairāki VPN klienti, šīs adreses izslēgšana atbrīvo tos visus, kas ir daudz plašāk nekā viens atradums, kas sāka izmeklēšanu.
Pārbaudiet faktisko apjomu, nevis veidlapu, kuru aizpildījāt, un ierakstiet incidenta identifikatoru blakus noteikumam. Izņēmums bez iemesla kļūst par pastāvīgu politiku, un nākamajam pārskatītājam nav veida, kā uzzināt, vai tas joprojām tiek piemērots.
Vēlreiz pārbaudiet darbību un robežu
Atkārtojiet to pašu nekaitīgo datubāzes darbību un apstipriniet, ka savienojums pabeidzas, pēc tam apstipriniet, ka nesaistītas atklāšanas joprojām iedarbojas testā, kuram tās būtu jāizraisa. Savienojamības atjaunošana ir viens pieņemšanas kritērijs; paredzētās robežas saglabāšana ir otrs.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Pierakstiet, kas tika izslēgts, kāpēc un kad to pārskatīt pēc nākamā paraksta atjauninājuma vai lietotnes atjauninājuma. Nomākšana, kas tiek regulāri pārlasīta, ir inženiertehnisks lēmums; tā, kuru neviens neatceras, ir lēna uzticības robežas paplašināšana.