Mengapa peraturan VPN tidak dapat menghalang muat naik satu fail
Mencapai perkhidmatan dan mengawal fail mana yang keluar daripadanya ialah dua keperluan. Letakkan peraturan di tempat fail itu kelihatan: mel, aplikasi atau ejen titik akhir.
Pasukan kecil meminta akses jauh ke sistem kerjanya dan dalam nafas yang sama meminta agar lampiran tertentu berhenti meninggalkan syarikat. Kedua-dua permintaan kedengaran seperti satu perubahan VPN. Ia dua keperluan dengan titik penguatkuasaan berbeza, dan peraturan yang memenuhi yang pertama tidak melakukan apa-apa untuk yang kedua. Mulakan dengan menamakan tindakan dan data, kemudian pilih komponen yang benar-benar dapat melihatnya.
Satu permintaan, dua keperluan
Keperluan pertama tentang ketercapaian: pengguna dan peranti mana boleh membuka sambungan ke perkhidmatan mana. Yang kedua tentang tingkah laku selepas sambungan itu wujud: dokumen mana boleh dilampirkan, ditampal atau dimuat naik. Terowong bertindak pada yang pertama dan buta kepada yang kedua secara reka bentuk.
Kawalan peringkat IP memajukan paket. Ia tidak menghuraikan muat naik berbilang bahagian, tidak memeriksa PDF dan tidak memutuskan sama ada hamparan mengandungi nombor akaun. Mengharapkannya berbuat demikian bukan kesilapan konfigurasi; ia kesilapan kategori.
Sebut keperluan itu dengan kuat dalam bentuk tersebut sebelum mencari produk. «Pengguna boleh mencapai portal fail» dan «pengguna tidak boleh memuat naik senarai pelanggan ke portal fail» ialah ayat berbeza, dan hanya yang kedua menerangkan dasar kandungan.
Pilih komponen yang dapat melihat fail itu
Penguatkuasaan mesti berlaku di tempat fail itu boleh dibaca. Untuk e-mel, biasanya platform atau get laluan mel, yang sudah mengendalikan lampiran dan boleh menilainya sebelum penghantaran. Untuk muat naik pelayar ke perkhidmatan yang diluluskan, aplikasi itu sendiri mungkin satu-satunya pihak yang melihat kandungan. Untuk komputer riba terurus yang menyalin fail ke media boleh tanggal, ejen titik akhir melihat operasi itu.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Sesetengah pakej akses jauh komersial menggabungkan ejen titik akhir, kawalan web dan modul pencegahan kehilangan data. Komponen itu mungkin menguatkuasakan dasar kandungan, tetapi keupayaan itu milik modul dan bukan terowong. Baca apa yang sebenarnya terkandung dalam pakej sebelum menjanjikan hasilnya.
Gambaran keseluruhan pencegahan kehilangan data Purview oleh Microsoft ialah model yang berguna untuk perbandingan: ia menerangkan dasar dari segi jenis maklumat sensitif, lokasi dan aktiviti. Perbendaharaan kata itu tentang kandungan dan tindakan, bukan awalan IP.
TLS bertahan melalui terowong, jadi rancang untuk itu
Penyulitan aplikasi dirundingkan antara klien dan perkhidmatan, dan terowong VPN membawa bait itu tanpa membukanya. Oleh itu get laluan di laluan tidak memperoleh keupayaan mengelaskan lampiran secara automatik, berapa banyak laluan yang dimilikinya pun.
Untuk memeriksa kandungan dalam perjalanan, anda memerlukan komponen yang menamatkan TLS dengan sijil dipercayai, dan itu keputusan seni bina yang besar dengan akibat privasi dan operasinya sendiri. Ia bukan kotak semak dalam profil VPN. Klien mesti mempercayai sijil pemeriksaan, aplikasi yang menyemat sijil akan rosak, dan pengendali memperoleh keupayaan membaca trafik yang sebelum ini tidak dapat dibacanya. Itulah sebabnya keputusan ini milik pemilik keselamatan dan bukan sesiapa yang menjalankan terowong.
Sebab itu jawapan jujur kepada «bolehkah VPN menyekat muat naik ini» biasanya tidak, diikuti alternatif yang konkrit. Alternatifnya mungkin sekatan peringkat aplikasi, peraturan mel atau dasar titik akhir, dan setiap satu mempunyai pemilik yang boleh mengubahnya.
Tulis ujian penerimaan sebelum peraturan
Peraturan kandungan memerlukan dua contoh, bukan satu: tindakan dibenarkan yang mesti terus berfungsi, dan tindakan dilarang yang mesti dihentikan. Uji kedua-duanya daripada aplikasi dan peranti dalam skop, kerana dasar yang hanya berfungsi dalam satu pelayar bukan dasar yang diminta sesiapa.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadPermintaan pertama sepatutnya ditolak oleh komponen yang memiliki peraturan, dan yang kedua sepatutnya berjaya. Jika kedua-duanya berjaya, kawalan itu tiada di laluan. Jika kedua-duanya gagal, anda telah merosakkan perkhidmatan dan bukan melindunginya, yang merupakan hasil lebih biasa bagi peraturan yang ditulis tanpa contoh dibenarkan.
Putuskan lebih awal apa yang dilihat pengguna, siapa boleh memberikan pengecualian dan di mana pentadbir mengesahkan keputusan itu selepasnya. Muat naik yang disekat tanpa mesej menghasilkan tiket sokongan, dan peraturan yang tiada siapa dapat mengaudit menghasilkan perdebatan. Kedua-duanya boleh dielakkan dengan satu ayat dokumentasi yang ditulis sebelum dasar itu berkuat kuasa.
Akhir sekali, simpan kedua-dua keperluan dalam tiket berasingan dengan pemilik berasingan. Menggabungkannya di bawah «VPN» menjamin pasukan rangkaian akan diminta menyelesaikan masalah kandungan, dan masalah kandungan itu akan diisytiharkan selesai apabila terowong naik.