IPS блокираше база на податоци преку VPN: определете го опсегот на исклучокот
VPN не го ослободува внатрешниот сообраќај на базата на податоци од проверка. Споредете потиснување на потпис, исклучување на извор и оневозможување на категорија пред да изберете.
Врските со базата на податоци внатре во VPN се уште се блокирани од IPS, дневникот на настани ја наведува причината, и најбрзата поправка изгледа како исклучок. Пред тоа, обрнете внимание што тунелот навистина менува. Тој го штити сообраќајот меѓу своите краеви и потоа им ги предава обичните внатрешни пакети на она што ја проверува внатрешноста на мрежата, што е точно местото каде се активира потписот. Тунелот не е ослободување, и детекцијата не е автоматски погрешна.
Декапсулацијата е местото каде проверката продолжува
Сообраќајот што излегува од тунел пристигнува како обични IP пакети адресирани до домаќинот на базата на податоци. Секој уред за спречување на пробивање на тој пат ги оценува според сопствената политика, поради што врска што поминала низ шифрирана врска се уште може да биде отфрлена со правило напишано за внатрешната мрежа.
TLS од крај до крај е границата на таа видливост. Кога клиентот го проверува сертификатот на серверот на базата на податоци, уредот за проверка ја обработува врската но не може да го прочита товарот на апликацијата, па детекцијата таму одговара на метаподатоци, а не на текстот на барањето. Ако го прескокнете овој детаљ, секоја блокирана врска ќе изгледа како доказ за длабока проверка. Двата факти се важни: уредот не е слеп, и исто така не чита се.
Детекцијата не е лажно позитивна по правило
Потписот постои за да фати шема, а очекуваниот деловен сообраќај се уште може да помине низ навистина ранлив коден пат. Прво усогласете го запишаниот настан со операцијата на апликацијата: временска ознака, внатрешен извор и одредиште, порти, идентификатор на потписот и преземеното дејство. Тие шест полиња исто така ви кажуваат дали предупредувањето и припаѓа на неуспешната врска или на сосед што случајно бил зафатен.
Тоа што неколку пакети стигнуваат до серверот не го идентификува IPS како причина, и совпаѓачкиот потпис не докажува дека клиентот е легитимен. Двете читања се претпоставки додека настанот не се поврзе со извештајот на самиот клиент. Поврзаниот настан е доказот, и верзијата на базата на податоци е дел од проценката.
Три опсези на исклучок и што отстранува секој
Опциите се разликуваат по тоа колку проверка исклучуваат, и разликата е поголема отколку што сугерира интерфејсот на поставката. Потиснувањето на потписот отстранува едно правило за сообраќајот што го совпаѓа. Исклучувањето на изворот отстранува проверка на се од таа адреса. Оневозможувањето на категорија отстранува семејство правила, понекогаш во целата политика.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Претпочитајте го првиот ред кога производот може да го изрази. Кога не може, ескалирајте го ограничувањето наместо широк исклучок да претставите како прецизен; лицето што го одобрува треба да ја види разликата писмено.
Опсегот што мислите дека сте го поставиле
Преведувањето менува што покрива исклучокот. Кога неколку VPN клиенти се појавуваат зад една преведена адреса, исклучувањето на таа адреса ги ослободува сите, што е многу пошироко од единечниот наод што ја почна истрагата.
Проверете го ефективниот опсег, а не образецот што го пополнивте, и запишете го идентификаторот на инцидентот до правилото. Исклучок без причина станува трајна политика, и следниот прегледувач нема начин да знае дали се уште важи.
Повторно тестирајте ја операцијата и границата
Повторете ја истата безопасна операција со базата на податоци и потврдете дека врската завршува, потоа потврдете дека неповрзаните детекции се уште се активираат во тест што треба да ги активира. Враќањето на поврзаноста е еден критериум за прифаќање; одржувањето на предвидената граница е другиот.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Запишете што е исклучено, зошто и кога да го прегледате по следното ажурирање на потписот или надградба на апликацијата. Потиснување што редовно се препрочитува е инженерска одлука; она што никој не го памети е бавно ширење на границата на доверба.