सामायिक VPN एक्झिट तुम्ही न केलेल्या लॉगिन इशाऱ्यांना का चालना देते
लॉगिन ब्लॉक सहसा जोखीम गुण आहे, तुमच्या टनेलविषयीचा निवाडा नाही. सामायिक एक्झिट त्या गुणात आणखी कोण समाविष्ट आहे आणि त्यांची काय किंमत मोजावी लागते हे बदलतात.
VPN मधून ओळखीची साइट उघडा आणि अतिरिक्त आव्हान मिळवा, आणि मोहक स्पष्टीकरण असे की टनेल ओळखले गेले. काहीतरी ओळखले गेले, पण ते तुम्ही नव्हते. साइटने अनेक संकेतांना गुण दिले, त्यातील एक स्रोत पत्ता आहे, आणि तो पत्ता अशा अनोळखी लोकांसोबत सामायिक आहे ज्यांनी एक मिनिटापूर्वी अयशस्वी लॉगिन तयार केले असतील. हा निर्णय तुमच्या कनेक्शनविषयीचा निवाडा म्हणून वाचणे म्हणजे गुण कशासाठी आहे हे चुकीचे समजून घेणे.
स्रोत पत्ता काय ठरवू शकतो आणि काय नाही
IP पत्ता एका विशिष्ट क्षणी नेटवर्कमधून जाणारा मार्ग वर्णन करतो. तो व्यक्ती, उपकरण किंवा एकही खाते ओळखत नाही, आणि कॅरियर-ग्रेड NAT किंवा गर्दीच्या VPN पूलसह तो एकाच वेळी हजारो असंबंधित सत्रांचे प्रतिनिधित्व करू शकतो. पत्त्याला ओळख मानणारी साइट प्रत्यक्षात त्याला प्रतिष्ठा मानते, जे सांख्यिकीय विधान आहे, तथ्य नाही.
दोन लोक एकच एक्झिट सामायिक करून विरुद्ध पुरावे देऊ शकतात: एकजण दुसऱ्या घटकासह यशस्वीरित्या साइन इन करतो, दुसरा चाळीस पासवर्ड वापरून पाहतो. पत्ता सारखाच आहे, म्हणून केवळ पत्त्यावर आधारित कोणताही नियम त्यांना वेगळे करू शकत नाही, आणि जी प्रतिक्रिया सुरू होते ती दोघांनाही लागू होते.
हे पत्त्यांकडे दुर्लक्ष करण्याचा युक्तिवाद नाही. हा संकेत काय मोजतो हे लक्षात ठेवण्याचा युक्तिवाद आहे, कारण VPN लॉगिनभोवतीचे बहुतेक आश्चर्यकारक वर्तन चुकीच्या निरीक्षणातून नाही, तर चुकीच्या स्तरावर नियंत्रण लागू केल्याने येते.
एक्झिट ब्लॉक करणे अनोळखींना का शिक्षा देते
पत्ता-स्तरीय ब्लॉक लागू करणे स्वस्त आणि लक्ष्य करणे महाग आहे. त्याचा प्रभाव-परिघ त्या पत्त्यामागील प्रत्येक सत्र आहे, आणि म्हणूनच सामायिक पत्ते आणि NAT वर्तनाचा कार्यवाहक दस्तऐवजीकरणात स्वतःचा इतिहास आहे: तोच तर्क IETF च्या सामायिक स्रोत पत्ते आणि पत्ता-आधारित फिल्टरिंगच्या दुष्परिणामांवरील कामात दिसतो.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
ब्लॉक निर्माण करतो त्या दोन अपयशांचा विचार करा. त्याच एक्झिटमागील कायदेशीर ग्राहकाला सेवा नाकारली जाते आणि तो गैरवापरापेक्षा जास्त खर्चाचे सहाय्य तिकीट उघडतो. खरा हल्लेखोर हजारोंच्या पूलमधील पुढील एक्झिटकडे जातो आणि पुन्हा जोडण्याशिवाय काहीही खर्च न करता पुढे चालू ठेवतो.
समानुपात हे गहाळ पाऊल आहे. वारंवार अयशस्वी साइन-इन, स्वयंचलित विनंत्याांचा लोंढा आणि प्रमाणित परवानगी भंग या तीन वेगळ्या घटना आहेत, आणि फक्त दुसरीच पत्ता-आकाराची समस्या वाटते. तीच साइट-व्यापी नेटवर्क बंदी तीनहीवर लागू करणे हे सुरक्षा नियंत्रण सहाय्य रांगेत का बदलते याचे उदाहरण आहे.
पुरावे आहेत तिथे निर्णय ठेवा
खाते-स्तरीय नियंत्रणे पत्त्यांमधून खात्याचा मागोवा घेतात, जे तुम्हाला खरोखर महत्त्वाच्या घटकाशी जुळते. दर-मर्यादा, वारंवार अपयशानंतरचे प्रतीक्षा कालावधी आणि संवेदनशील कृतींसाठी टप्प्याटप्प्याने प्रमाणीकरण हे सर्व नेटवर्क मार्गावर नाही, तर खाते किंवा कृतीवर काम करतात. हे तुम्ही खरोखर संरक्षण करत असलेल्या घटकाशी अधिक जुळते. हे हल्लेखोराची नवीन एक्झिट पत्ता शोधण्याची प्रेरणाही दूर करते.
NIST च्या प्रमाणीकरण मार्गदर्शक सूचना या गोष्टींना जोखीम मूल्यांकनाचे इनपुट मानतात आणि संकेतांमध्ये पत्ता, भौगोलिक स्थान आणि विनंतीची वेळ यांचा समावेश करतात, जो नेमका उधार घेण्यासारखा चौकट आहे: संकेत निर्णयाला माहिती देतो, तो प्रमाणकर्त्याची जागा घेत नाही. ती यादी प्रतिबंधित करण्याजोग्या गोष्टींची मेनू म्हणून नाही, इनपुट म्हणून वाचा. पुरावा अजूनही प्रमाणकर्ताच देतो, आणि इतर संकेत त्याच्याभोवती किती घर्षण ठेवावे हेच ठरवतात.
दोन रचना-मर्यादा खाते-स्तरीय दृष्टिकोन स्वतःचाच अडथळा होण्यापासून रोखतात. दर-मर्यादांना सुरक्षित पुनरावलोकन मार्ग हवा जेणेकरून वापरकर्ता क्रेडेन्शियल्स प्रकाशित न करता चुकीच्या वर्गीकरणाची तक्रार करू शकेल, आणि टप्प्याटप्प्याने आव्हानांना पासवर्ड किंवा असत्यापित सहाय्य संपर्काला दिलेल्या एकवेळ कोडने उत्तर देता येऊ नये.
बाहेरून न्याय्य धोरण कसे दिसते
प्रत्येक नियंत्रण कोणत्या निर्णयाला आधार देते ते लिहा, नंतर नियंत्रणाची सूक्ष्मता जुळते का ते तपासा. पत्ता नियंत्रणे नेटवर्कमधून येणाऱ्या रहदारीविषयी प्रश्नांना उत्तर देतात; खाते नियंत्रणे खात्याविषयी प्रश्नांना उत्तर देतात; अनुप्रयोग घटना प्रमाणीकरणानंतरच्या वर्तनाविषयी प्रश्नांना उत्तर देतात. तीनही नावे घेणारे धोरण लेखापरीक्षणयोग्य आहे, आणि फक्त VPN रहदारी नावे घेणारे नाही.
नंतर नियमांची संख्या नाही, परिणाम मोजा. अनधिकृत प्रयत्न कमी व्हायला हवेत, कायदेशीर वापरकर्त्यांकडे समर्थित मार्ग राहिला पाहिजे, आणि प्रति हजार लॉगिन सहाय्य संपर्कांची संख्या वाढू नये. पहिला आकडा सुधारून उर्वरित दोन बिघडवणाऱ्या ब्लॉकने समस्या सोडवली नाही, हलवली आहे.
VPN कनेक्शन स्वीकारणे आणि गैरवापर नियंत्रणे लागू करणे या सुसंगत उद्दिष्टे आहेत. कार्यरत आवृत्ती स्रोत पत्त्याला अनेक इनपुटपैकी एक मानते, पुराव्याशी जुळणारे सर्वात अरुंद नियंत्रण लागू करते, आणि चुकीचे वर्गीकरण झालेल्या व्यक्तीसाठी प्रामाणिक मार्ग ठेवते. अपयशी आवृत्ती पत्त्याला संशयित मानते आणि त्याला धोरण म्हणते.