IPS menyekat pangkalan data melalui VPN: tetapkan skop pengecualian
VPN tidak mengecualikan trafik pangkalan data dalaman daripada pemeriksaan. Bandingkan penindasan tandatangan, pengecualian sumber dan penyahdayaan kategori sebelum anda memilih.
Sambungan pangkalan data di dalam VPN masih disekat oleh IPS, log peristiwa menyebut puncanya, dan pembaikan terpantas kelihatan seperti pengecualian. Sebelum itu, perhatikan apa yang sebenarnya diubah oleh terowong. Ia melindungi trafik antara hujungnya dan kemudian menyerahkan paket dalaman biasa kepada apa sahaja yang memeriksa bahagian dalam rangkaian, iaitu tepat di mana tandatangan tercetus. Terowong bukan pengecualian, dan pengesanan tidak semestinya salah.
Dekapsulasi ialah tempat pemeriksaan bermula semula
Trafik yang meninggalkan terowong tiba sebagai paket IP biasa yang dialamatkan kepada hos pangkalan data. Mana-mana peranti pencegahan pencerobohan di laluan itu menilainya mengikut dasarnya sendiri, sebab itulah sambungan yang melintasi pautan disulitkan masih boleh digugurkan oleh peraturan yang ditulis untuk rangkaian dalaman.
TLS hujung ke hujung ialah had keterlihatan itu. Apabila klien mengesahkan sijil pelayan pangkalan data, peranti pemeriksaan memproses sambungan tetapi tidak dapat membaca muatan aplikasi, jadi pengesanan di sana sepadan dengan metadata dan bukan teks pertanyaan. Abaikan butiran itu dan setiap sambungan yang disekat akan kelihatan seperti bukti pemeriksaan mendalam. Kedua-dua fakta penting: peranti itu tidak buta, dan ia juga tidak membaca segala-galanya.
Pengesanan bukan positif palsu secara lalai
Tandatangan wujud untuk menangkap corak, dan trafik perniagaan yang dijangka masih boleh melalui laluan kod yang benar-benar terdedah. Padankan peristiwa yang direkodkan dengan operasi aplikasi terlebih dahulu: cap masa, sumber dan destinasi dalaman, port, pengecam tandatangan dan tindakan yang diambil. Enam medan itu juga memberitahu anda sama ada amaran itu milik sambungan yang gagal atau jiran yang kebetulan sibuk.
Beberapa paket yang sampai ke pelayan tidak mengenal pasti IPS sebagai punca, dan tandatangan yang sepadan tidak membuktikan klien itu sah. Kedua-dua bacaan ialah tekaan sehingga peristiwa itu dikaitkan dengan laporan klien sendiri. Peristiwa yang dikaitkan ialah buktinya, dan versi pangkalan data ialah sebahagian daripada pertimbangan.
Tiga skop pengecualian dan apa yang dibuang oleh setiap satu
Pilihan berbeza dari segi berapa banyak pemeriksaan yang dimatikan, dan perbezaannya lebih besar daripada yang dicadangkan oleh antara muka tetapan. Penindasan tandatangan membuang satu peraturan untuk trafik yang sepadan. Pengecualian sumber membuang pemeriksaan semua yang datang dari alamat itu. Penyahdayaan kategori membuang keluarga peraturan, kadang-kadang di seluruh dasar.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Utamakan baris pertama setiap kali produk boleh menyatakannya. Apabila ia tidak boleh, naikkan had itu ke peringkat lebih tinggi dan jangan tunjukkan pengecualian luas sebagai sesuatu yang tepat; orang yang meluluskannya perlu melihat perbezaan itu secara bertulis.
Skop yang anda fikir anda telah tetapkan
Penterjemahan mengubah apa yang diliputi oleh pengecualian. Apabila beberapa klien VPN muncul di belakang satu alamat yang diterjemahkan, mengecualikan alamat itu membebaskan kesemuanya, yang jauh lebih luas daripada satu penemuan yang memulakan siasatan.
Periksa skop berkesan dan bukan borang yang anda isi, dan catatkan pengecam insiden di sebelah peraturan. Pengecualian tanpa sebab menjadi dasar kekal, dan penyemak seterusnya tidak mempunyai cara untuk mengetahui sama ada ia masih terpakai.
Uji semula operasi dan sempadan
Ulangi operasi pangkalan data yang tidak berbahaya itu dan sahkan sambungan selesai, kemudian sahkan pengesanan tidak berkaitan masih tercetus dalam ujian yang sepatutnya mencetuskannya. Memulihkan sambungan ialah satu kriteria penerimaan; mengekalkan sempadan yang dimaksudkan ialah yang lain.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Catatkan apa yang dikecualikan, mengapa, dan bila untuk menyemaknya semula selepas kemas kini tandatangan atau naik taraf aplikasi seterusnya. Penindasan yang dibaca semula mengikut jadual ialah keputusan kejuruteraan; yang tiada siapa ingat ialah pengembangan sempadan kepercayaan yang perlahan.