IPS ने VPN मार्गे डेटाबेस अडवले: अपवादाची व्याप्ती ठरवा
VPN आतील डेटाबेस रहदारी तपासणीतून मुक्त करत नाही. निवडण्यापूर्वी सही दमन, स्रोत वगळणे आणि श्रेणी निष्क्रिय करणे यांची तुलना करा.
VPN मधील डेटाबेस कनेक्शन अजूनही IPS कडून अडवली जातात, घटना लॉग कारण सांगतो, आणि सर्वात वेगवान दुरुस्ती अपवादासारखी दिसते। त्याआधी बोगदा प्रत्यक्षात काय बदलतो ते पहा। तो त्याच्या दोन्ही टोकांमधील रहदारी संरक्षित करतो आणि नंतर सामान्य आंतरिक पॅकेट जाळ्याचा आतील भाग तपासणाऱ्या घटकाला देतो, जिथे सही सक्रिय झाली ते नेमके तिथेच। बोगदा सूट नाही, आणि शोध आपोआप चुकीचा नाही।
डिकॅप्स्युलेशन म्हणजे जिथे तपासणी पुन्हा सुरू होते
बोगदा सोडणारी रहदारी डेटाबेस होस्टला उद्देशून सामान्य IP पॅकेट म्हणून पोहोचते। त्या मार्गावरील कोणतेही घुसखोरी-प्रतिबंध उपकरण त्यांचे स्वतःच्या धोरणानुसार मूल्यांकन करते, म्हणून एन्क्रिप्टेड दुवा ओलांडलेले कनेक्शनही आंतरिक जाळ्यासाठी लिहिलेल्या नियमाने गळून पडू शकते।
एंड-टू-एंड TLS ही त्या दृश्यमानतेची मर्यादा आहे। क्लायंट डेटाबेस सर्व्हरचे प्रमाणपत्र सत्यापित करतो तेव्हा तपासणी उपकरण कनेक्शन प्रक्रिया करते पण अनुप्रयोग पेलोड वाचू शकत नाही, म्हणून तिथला शोध क्वेरी मजकुराऐवजी मेटाडेटाशी जुळतो। हा तपशील वगळला तर प्रत्येक अडवलेले कनेक्शन खोल तपासणीचा पुरावा वाटेल। दोन्ही तथ्ये महत्त्वाची आहेत: उपकरण अंध नाही, आणि ते सर्वही वाचत नाही।
शोध डीफॉल्टनुसार खोटा सकारात्मक नाही
सही नमुना पकडण्यासाठी आहे, आणि अपेक्षित व्यावसायिक रहदारी खऱ्याखुऱ्या असुरक्षित कोड मार्गातून जाऊ शकते। आधी नोंदवलेली घटना अनुप्रयोग क्रियेशी जुळवा: वेळेची नोंद, आंतरिक स्रोत व गंतव्य, पोर्ट, सही ओळखकर्ता आणि घेतलेली कृती। ती सहा क्षेत्रे सूचना अयशस्वी कनेक्शनची आहे की योगायोगाने व्यस्त शेजाऱ्याची हेही सांगतात।
सर्व्हरपर्यंत काही पॅकेट पोहोचणे IPS ला कारण म्हणून ओळखत नाही, आणि जुळणारी सही क्लायंट कायदेशीर आहे हे सिद्ध करत नाही। घटना क्लायंटच्या स्वतःच्या अहवालाशी सहसंबंधित होईपर्यंत दोन्ही वाचन अनुमाने आहेत। सहसंबंधित घटना हाच पुरावा, आणि डेटाबेस आवृत्ती निर्णयाचा भाग आहे।
तीन अपवाद व्याप्ती आणि प्रत्येक काय काढून टाकते
पर्याय किती तपासणी बंद करतात यात वेगळे आहेत, आणि फरक सेटिंगचा इंटरफेस सुचवतो त्यापेक्षा मोठा आहे। सही दमन ज्या रहदारीशी जुळते त्यासाठी एक नियम काढून टाकते। स्रोत वगळणे त्या पत्त्यावरून येणाऱ्या सर्वांची तपासणी काढून टाकते। श्रेणी निष्क्रिय करणे नियमांचे कुटुंब काढून टाकते, कधीकधी संपूर्ण धोरणात।
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
उत्पादन ते व्यक्त करू शकत असेल तेव्हा पहिल्या रांगेला प्राधान्य द्या। शक्य नसेल तर रुंद अपवाद अचूक म्हणून सादर करण्याऐवजी मर्यादा वर पाठवा; मंजूरी देणाऱ्याला फरक लिखित स्वरूपात दिसला पाहिजे।
तुम्ही ठरवले असे तुम्हाला वाटणारी व्याप्ती
भाषांतर बदलते की अपवाद काय व्यापतो। अनेक VPN क्लायंट एका भाषांतरित पत्त्यामागे दिसल्यास, तो पत्ता वगळणे त्यांना सर्वांना सूट देते, जे तपास सुरू करणाऱ्या एकाच शोधापेक्षा खूप रुंद आहे।
तुम्ही भरलेला फॉर्म नव्हे तर प्रभावी व्याप्ती तपासा, आणि नियमाच्या शेजारी घटना ओळखकर्ता नोंदवा। कारणाशिवाय अपवाद कायमस्वरूपी धोरण बनतो, आणि पुढील पुनरावलोककाला तो अजूनही लागू आहे का हे कळण्याचा मार्ग नाही।
क्रिया आणि सीमा पुन्हा तपासा
तेच निरुपद्रवी डेटाबेस क्रिया पुन्हा करा आणि कनेक्शन पूर्ण होते याची खात्री करा, नंतर असंबंधित शोध अजूनही त्यांना सक्रिय करायला हव्या असलेल्या चाचणीत सक्रिय होतात याची खात्री करा। कनेक्टिव्हिटी पुनर्संचयित करणे हा एक स्वीकृती निकष आहे; इच्छित सीमा राखणे हा दुसरा।
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"काय अपवादित केले, का, आणि पुढील सही अद्ययावत किंवा अनुप्रयोग अद्ययावतानंतर कधी पुन्हा पाहावे हे लिहा। वेळापत्रकानुसार पुन्हा वाचला जाणारा दमन हा अभियांत्रिकी निर्णय आहे; जो कोणालाही आठवत नाही तो विश्वास सीमेचा संथ विस्तार आहे।