Зошто правило за VPN не може да го запре качувањето на една датотека
Да се стигне до услуга и да се контролира кои датотеки излегуваат од неа се два барања. Ставете го правилото онаму каде што датотеката е видлива: пошта, апликација или агент на крајна точка.
Мал тим бара далечински пристап до своите работни системи и во истиот здив бара одредени прилози да престанат да ја напуштаат компанијата. Двете барања звучат како една промена на VPN. Тоа се два барања со различни точки на спроведување, а правилото што го задоволува првото не прави ништо за второто. Започнете со именување на дејството и податоците, потоа изберете ја компонентата што навистина може да ги види.
Едно барање, два услови
Првото барање се однесува на достапноста: кои корисници и уреди смеат да отворат врска кон која услуга. Второто се однесува на однесувањето откако таа врска постои: кои документи смеат да се прикачат, залепат или качат. Тунелот дејствува на првото и по дизајн е слеп за второто.
Контрола на ниво на IP препраќа пакети. Таа не анализира качување во повеќе делови, не проверува PDF и не одлучува дали табелата содржи броеви на сметки. Да се очекува тоа од неа не е грешка во конфигурацијата; тоа е грешка во категоријата.
Кажете го барањето на глас во таа форма пред да барате производ. „Корисниците смеат да стигнат до порталот за датотеки“ и „корисниците не смеат да качуваат списоци на клиенти на порталот за датотеки“ се различни реченици, и само втората опишува политика за содржина.
Изберете ја компонентата што ја гледа датотеката
Спроведувањето мора да се случи таму каде што датотеката е читлива. За е-пошта тоа е обично поштенската платформа или портата, кои веќе ракуваат со прилози и можат да ги оценат пред достава. За качувања од прелистувач кон одобрена услуга, самата апликација може да биде единствената страна што ја гледа содржината. За управуван преносен сметач што копира датотеки на отстранливи медиуми, агентот на крајната точка ја гледа операцијата.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Некои комерцијални пакети за далечински пристап обединуваат агент на крајна точка, веб-контрола и модул за спречување на губење податоци. Тие компоненти можат да спроведат политика за содржина, но способноста и припаѓа на модулот, а не на тунелирањето. Прочитајте што пакетот навистина содржи пред да го ветите резултатот.
Корисен модел за споредба е прегледот на Purview за спречување на губење податоци од Microsoft: тој ги опишува политиките преку типови чувствителни информации, локации и активности. Тој речник е за содржина и дејства, не за IP префикси.
TLS преживува низ тунелот, затоа планирајте го тоа
Шифрирањето на апликацијата се договара меѓу клиентот и услугата, а VPN тунелот ги пренесува тие бајти без да ги отвори. Затоа портата на патеката не ја добива автоматски способноста да класифицира прилог, колку и да поседува од маршрутата.
За да проверувате содржина во пренос, потребна ви е компонента што завршува TLS со доверлив сертификат, а тоа е значителна архитектонска одлука со свои последици за приватноста и работењето. Тоа не е квадратче во профилот на VPN. Клиентите мора да му веруваат на сертификатот за проверка, апликациите што закачуваат сертификати ќе се скршат, а операторот ја добива можноста да чита сообраќај што претходно не можел. Тоа се причините зошто оваа одлука и припаѓа на безбедносниот сопственик, а не на оној што го управува тунелот.
Затоа искрениот одговор на „може ли VPN да го блокира ова качување“ обично е не, по што следи конкретна алтернатива. Алтернативата може да биде ограничувања на ниво на апликација, поштенско правило или политика за крајна точка, и секоја има сопственик што може да ја смени.
Напишете го тестот за прифаќање пред правилото
Правилото за содржина бара два примери, не еден: дозволено дејство што мора да продолжи да работи и забрането дејство што мора да биде запрено. Тестирајте ги двете од апликациите и уредите во опфатот, бидејќи политика што работи само во еден прелистувач не е политиката што некој ја побарал.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadПрвото барање треба да го одбие компонентата што го поседува правилото, а второто треба да успее. Ако успеат двете, контролата не е на патеката. Ако не успеат двете, сте ја скршиле услугата наместо да ја заштитите, што е почестиот исход на правило напишано без дозволен пример.
Одлучете однапред што гледа корисникот, кој може да даде исклучок и каде администраторот потоа ја потврдува одлуката. Блокирано качување без порака создава билет за поддршка, а правило што никој не може да го ревидира создава расправија. И двете се избегнуваат со една реченица документација напишана пред политиката да стапи на сила.
На крајот, држете ги двете барања во одделни билети со одделни сопственици. Нивното спојување под „VPN“ гарантира дека од мрежниот тим ќе се бара да реши проблем со содржина, и дека проблемот со содржината ќе биде прогласен за решен кога тунелот ќе се подигне.