Ko darba VPN vārteja var redzēt par to, kur jūs atrodaties

Adrese, ko vietne redz pēc tam, kad esat pievienojāties darba VPN, nav tā adrese, ko darba vārteja redzēja pieslēgšanās brīdī. Vārteja pieņem ienākošu tuneli no jebkura tīkla, kurā atrodas jūsu portatīvais dators, un šis avots tai ir redzams vēl pirms jebkādas tuneļa plūsmas pastāvēšanas. Tas, ka pārlūks vēlāk ziņo par uzņēmuma izeju, neizdzēš iepriekšējo novērojumu, jo tie ir divu dažādu lietu novērojumi. Izpratne par to, kura ir kura, atrisina lielāko daļu strīda par to, ko darba devējs var un ko nevar secināt.

Divas adreses, divi dažādi novērojumi

Mehānisms ir ligzda, nevis politika. Kad jūsu klients atver tuneli, tas sūta paketes no vietējās adreses uz vārtejas publisko adresi, un vārtejas kodols reģistrē šīs plūsmas avotu. Šis avots ir tīkla galapunkts, ko jūsu pakalpojumu sniedzējs piešķīra savienojumam tajā brīdī.

Aiz mājas maršrutētāja avots ir maršrutētāja publiskā adrese pēc NAT. Mobilajā tīklā tas var būt operatora līmeņa NAT adrese, kas vienlaikus tiek dalīta ar daudziem citiem abonentiem, tāpēc divi nesaistīti cilvēki var izskatīties tā, it kā nāktu no vienas vietas. Uzņēmuma viesu tīklā tas ir tā tīkla izeja. Jebkurā gadījumā vārteja uzzina adresi, portu un laika zīmogu, un adrese pieder tīkla operatoram, nevis personai.

Ko vārteja patiešām reģistrē

Tas, kas tiek pierakstīts pēc tam, ir atsevišķs jautājums no tā, kas ir tehniski redzams. Vārteja var reģistrēt savienojumu, autentifikācijas identitāti un piešķirto tuneļa adresi, vai arī nepierakstīt gandrīz neko, izņemot sesijas stāvokli. Glabāšana, eksports uz SIEM un korelācija ar kontu ir izvietošanas lēmumi, un neviens no tiem neizriet no fakta, ka avots bija novērojams.

Uztveriet redzamību un glabāšanu kā divas asis. Pakalpojums var redzēt visu un neglabāt neko, vai redzēt maz un pārsūtīt visu tālāk.

Praktiskās sekas ir tādas, ka jūs nevarat spriest par sava darba devēja reģistriem pēc instalētā klienta. Jautājiet, ko pakalpojums ir konfigurēts vākt un cik ilgi, un gaidiet, ka atbilde būs politikas dokuments, nevis tehniska garantija. Ir vērts arī atdalīt VPN vārteju no visa cita pārvaldītā ierīcē, jo galapunkta programmatūrai ir savas iespējas un savi reģistri. Personiskais VPN maina maršrutu; tas nemaina to, ko var novērot programmatūra, kas jau darbojas mašīnā.

Ko IP datubāze var un ko nevar pateikt

IP ģeolokācijas datubāze paņem šo adresi un atgriež laukus: valsti, reģionu, pilsētu, pasta indeksu, platumu un garumu, kā arī precizitātes rādiusu, ja piegādātājs to nodrošina. Šie lauki ir aplēses, kas iegūtas no reģistrācijas datiem, tīkla topoloģijas un izmērītās latentces, un tie dažādi pasliktinās katrā līmenī. Atbilde par valsti var būt stabila, kamēr atbilde par pilsētu ir minējums.

Pašas MaxMind precizitātes vadlīnijas ir skaidras par atšķirību, kas šeit ir svarīga: VPN servera atrašanās vietas noteikšana nav tā lietotāju atrašanās vietas noteikšana, un dati nevar identificēt mājsaimniecību, personu vai ielas adresi. Lasiet precizitātes rādiusu un ticamības laukus tur, kur produkts tos parāda, un iztulkojiet trūkstošos datus kā trūkstošus, nevis kā noklusējuma vērtību. Spraudīte kartē ir attēlojuma izvēle, nevis mērījums. Reģistrācijas ieraksti un apgrieztais DNS ir vēl viens pierādījumu veids: whois 203.0.113.5 pasaka, kuram operatoram pieder piešķīrums, un dig +short -x 203.0.113.5 pasaka, kā operators to nosauca, un neviens no tiem nav apgalvojums par to, kur persona stāvēja.

Reģistri, kas nav aizstājami

Tas griež abos virzienos, tāpēc tas ir slikts pamats kategoriskam lēmumam. Aplēse, kas sakrīt ar apstiprināto reģionu, nepierāda klātbūtni. Neatbilstība pati par sevi nepierāda maldināšanu.

Attālinātā darba pārskats, kas balstās uz vienu meklējumu, atbild uz citu jautājumu nekā uzdotais. Tam vajadzīgs konteksts: kuras vietas pieļauj vienošanās, ko persona norādīja un vai citi pierādījumi saskan. Tas ir vadības process ar tehniskiem ievadiem, nevis tehnisks spriedums.

Citi reģistri, kas organizācijai var būt, nav aizstājami ar avota adresi. Laika joslas iestatījums ir ierīces izvēle, ko jebkurš var mainīt; konta notikums reģistrē, ka bija sesija, nevis kur; ierīces atrašanās vietas nolasījums no galapunkta programmatūras ir cits sensors, ar citām atļaujām un citiem kļūdu režīmiem. Pieņemt, ka katrs darba devējs vāc visus, ir tikpat nepareizi kā pieņemt, ka netiek vākts neviens. Noderīgā disciplīna ir nosaukt reģistru, tā īpašnieku un tā kļūdu režīmu, pirms to uzskatīt par pierādījumu kam vien.

Kas izriet darba vienošanās

Par savām vienošanās jautājums ir, ko organizācija vāc un kuras darba vietas pieļauj. Tie ir divas atbildes no divām dažādām uzņēmējdarbības daļām.

Avota IP attēlojums nevar izšķirt atļauju strādāt no vietas, un maršruta maiņa neaizstāj vienošanos par vienošanās noteikumiem. Ja politika nav skaidra, produktīvais solis ir jautāt, nevis optimizēt tīkla ceļu. Tehniskie apvedceļi parasti rada tieši to reģistru, kas izskatās kā slēpšana.

Aizstāvamais tehniskais apgalvojums ir šaurs, un to ir vērts turēt šauru: vārteja novēro ienākošā savienojuma tīkla izcelsmi, ģeolokācijas datubāze var aplēst atrašanās vietu šai izcelsmei, un jebkurš apgalvojums par personas fizisko stāvokli prasa pierādījumus ārpus abiem. MaxMind precizitātes vadlīnijas ir atsauce uz to, ko šīs aplēses pamato. Viss pēc tam ir politikas jautājums tehniskā kostīmā.