Хуваалцсан VPN гарц яагаад таны үүсгээгүй нэвтрэх сэрэмжлүүлэг үүсгэдэг вэ
Нэвтрэлтийг блоклох нь ихэвчлэн эрсдэлийн оноо, таны туннелийн талаарх шийдвэр биш. Хуваалцсан гарцууд тэр оноонд өөр хэн багтах, тэдэнд хэр их зардал гарахыг өөрчилдөг.
VPN-ээр дамжуулан танил сайт нээхэд нэмэлт шалгалт гарч ирвэл, уруу татагч тайлбар нь туннель илэрсэн гэсэн байдаг. Ямар нэг зүйл илэрсэн, гэхдээ тэр нь та биш байсан. Сайт хэд хэдэн дохиог оноож, тэдний нэг нь эх үүсвэрийн хаяг бөгөөд тэр хаяг нь нэг минутын өмнө амжилтгүй нэвтрэлт үүсгэсэн байж болох танихгүй хүмүүстэй хуваалцдаг. Энэ шийдвэрийг таны холболтын талаарх шийдвэр гэж унших нь оноо юунд зориулагдсаныг буруу ойлгож байгаа хэрэг.
Эх үүсвэрийн хаяг юуг шийдэж чадах, юуг чадахгүй
IP хаяг нь тодорхой нэг мөчид сүлжээгээр дамжих замыг дүрсэлдэг. Энэ нь хүн, төхөөрөмж, тэр байтугай ганц бүртгэлийг ч тодорхойлдоггүй, операторын түвшний NAT эсвэл ачаалалтай VPN сангийн хувьд нэгэн зэрэг олон мянган хамааралгүй сессийг төлөөлж болно. Хаягийг таних тэмдэг гэж үздэг сайт үнэндээ түүнийг нэр хүнд гэж үздэг бөгөөд энэ нь статистик мэдэгдэл, баримт биш.
Хоёр хүн нэг гарцыг хуваалцаж, эсрэг заалт гаргаж болно: нэг нь хоёр дахь хүчин зүйлээр амжилттай нэвтэрч, нөгөө нь дөч гаруй нууц үг туршина. Хаяг ижил тул зөвхөн хаягт тулгуурласан ямар ч дүрэм тэднийг ялгаж чадахгүй, ямар ч хариу үүссэн тэр нь хоёуланд нь хамаарна.
Энэ нь хаягийг үл тоомсорлох үндэслэл биш. Энэ нь дохио юуг хэмждэгийг санах үндэслэл, учир нь VPN нэвтрэлтийн эргэн тойрон дахь гайхмаар зан үйлийн ихэнх нь буруу ажиглалтаас бус, буруу нарийвчлалд хяналт хэрэглэснээс үүсдэг.
Гарцыг блоклох нь танихгүй хүмүүсийг яагаад шийтгэдэг вэ
Хаягийн түвшний блок нь хэрэгжүүлэхэд хямд, онилоход үнэтэй. Түүний нөлөөллийн радиус нь тэр хаягийн ард байгаа бүх сесс бөгөөд тиймээс хуваалцсан хаяг, NAT-ийн зан үйл үйл ажиллагааны баримт бичигт өөрийн түүхтэй: ижил үндэслэл IETF-ийн хуваалцсан эх хаяг болон хаягт суурилсан шүүлтүүрийн гаж нөлөөний ажилд гардаг.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Блок үүсгэдэг хоёр бүтэлгүйтлийг бодож үзээрэй. Мөн тэр гарцын ард байгаа хууль ёсны хэрэглэгчид үйлчилгээгээс татгалзаж, урвуулан ашиглалтаас илүү үнэтэй дэмжлэгийн тасалбар нээдэг. Бодит халдагч мянга мянган сангийн дараагийн гарц руу шилжиж, дахин холбогдохоос өөр юу ч зарцуулалгүй үргэлжлүүлдэг.
Пропорциональ байдал нь дутуу алхам. Давтан амжилтгүй нэвтрэлт, автомат хүсэлтийн давалгаа, баталгаажсан зөвшөөрлийн зөрчил нь гурван өөр үйл явдал бөгөөд зөвхөн хоёр дахь нь хаягийн хэлбэрийн асуудал мэт харагдана. Мөн сайтын хэмжээний сүлжээний хоригийг бүх гуравт хэрэглэх нь аюулгүй байдлын хяналт дэмжлэгийн дараалал болох арга юм.
Шийдвэрийг нотолгоо байгаа газарт тавь
Бүртгэлийн түвшний хяналтууд бүртгэлийг хаягуудын дагуу дагадаг бөгөөд энэ нь танд үнэхээр чухал субъекттай тохирдог. Хурдны хязгаарлалт, давтан бүтэлгүйтлийн дараах хүлээлгийн хугацаа, мэдрэмтгий үйлдлийн шатлалт баталгаажуулалт бүгд сүлжээний замд бус, бүртгэл эсвэл үйлдэлд нөлөөлдөг. Энэ нь таны үнэхээр хамгаалж буй субъекттай илүү сайн тохирдог. Мөн халдагчийн шинэ гарцын хаяг хайх урам зоригийг арилгадаг.
NIST-ийн баталгаажуулалтын удирдамж эдгээрийг эрсдэлийн үнэлгээний оролт гэж үзэж, дохионы дунд хаяг, газар зүйн байршил, хүсэлтийн цагийг жагсаадаг нь яг зээлэх ёстой хүрээ юм: дохио шийдвэрт мэдээлэл өгдөг, баталгаажуулагчийг орлохгүй. Тэр жагсаалтыг хориглох зүйлсийн цэс гэж бус, оролт гэж уншина уу. Баталгаажуулагч нь нотолгоог үргэлжлүүлэн гаргаж, бусад дохио нь зөвхөн түүний эргэн тойронд хэр их үрэлт тавихыг шийднэ.
Хоёр дизайны хязгаарлалт нь бүртгэлийн түвшний хандлагыг өөрийнх нь саатал болохоос сэргийлдэг. Хурдны хязгаарлалтад аюулгүй хяналтын зам хэрэгтэй бөгөөд ингэснээр хэрэглэгч итгэмжлэлүүдийг нийтлэхгүйгээр буруу ангиллыг мэдээлэх боломжтой, шатлалт сорилтод баталгаажаагүй дэмжлэгийн холбоо талд өгсөн нууц үг эсвэл нэг удаагийн кодоор хариулах боломжгүй байх ёстой.
Шударга бодлого гаднаас хэрхэн харагдах вэ
Хяналт бүр ямар шийдвэрийг дэмждэгийг бичиж, дараа нь хяналтын нарийвчлал таарах эсэхийг шалгана уу. Хаягийн хяналтууд сүлжээнээс ирэх урсгалын талаарх асуултад хариулдаг; бүртгэлийн хяналтууд бүртгэлийн талаарх асуултад хариулдаг; програмын үйл явдлууд баталгаажуулалтын дараах зан үйлийн талаарх асуултад хариулдаг. Гурвыг нь нэрлэсэн бодлого аудитад тохиромжтой, зөвхөн VPN урсгалыг нэрлэсэн нь тийм биш.
Дараа нь дүрмийн тоо бус үр дүнг хэмжинэ. Зөвшөөрөлгүй оролдлого буурах ёстой, хууль ёсны хэрэглэгчид дэмжигдсэн зам хадгалах ёстой, мянган нэвтрэлтэд ногдох дэмжлэгийн холбоо барилтын тоо өсөх ёсгүй. Эхний тоог сайжруулж, бусад хоёрыг сүйтгэсэн блок нь асуудлыг шийдээгүй, зөөсөн юм.
VPN холболтыг хүлээн авах, урвуулан ашиглалтын хяналтыг хэрэгжүүлэх нь нийцэх зорилго юм. Ажилладаг хувилбар нь эх үүсвэрийн хаягийг хэд хэдэн оролтын нэг гэж үзэж, нотолгоонд тохирох хамгийн нарийн хяналтыг хэрэглэж, буруу ангилагдсан хүнд шударга зам үлдээдэг. Бүтэлгүйтдэг хувилбар нь хаягийг сэжигтэн гэж үзэж, үүнийг бодлого гэж нэрлэдэг.