Għaliex regola tal-VPN ma tistax iżżomm it-tlugħ ta' fajl wieħed
Li tasal għal servizz u tikkontrolla liema fajls joħorġu minnu huma żewġ rekwiżiti. Poġġi r-regola fejn il-fajl jidher: posta, applikazzjoni jew aġent tal-punt aħħari.
Tim żgħir jitlob aċċess mill-bogħod għas-sistemi tax-xogħol tiegħu u fl-istess nifs jitlob li ċerti annessi jieqfu jħallu l-kumpanija. Iż-żewġ talbiet jidhru bħal bidla waħda fil-VPN. Huma żewġ rekwiżiti b'punti ta' infurzar differenti, u regola li tissodisfa l-ewwel waħda ma tagħmel xejn għat-tieni. Ibda billi ssemmi l-azzjoni u d-data, imbagħad agħżel il-komponent li tassew jista' jarahom.
Talba waħda, żewġ rekwiżiti
L-ewwel rekwiżit jikkonċerna l-aċċessabbiltà: liema utenti u apparati jistgħu jiftħu konnessjoni ma' liema servizz. It-tieni jikkonċerna l-imġiba wara li din il-konnessjoni teżisti: liema dokumenti jistgħu jiġu mehmuża, pejstjati jew mtella'. Mina jopera fuq l-ewwel u huwa għami għat-tieni bi disinn.
Kontroll fil-livell tal-IP jgħaddi pakketti. Ma janalizzax tlugħ b'ħafna partijiet, ma jeżaminax PDF u ma jiddeċidix jekk arkivju għandux numri tal-kont. Li tistenna dan minnu mhuwiex żball ta' konfigurazzjoni; huwa żball ta' kategorija.
Għid ir-rekwiżit b'leħen għoli f'dik il-forma qabel ma tfittex prodott. «L-utenti jistgħu jaslu għall-portal tal-fajls» u «l-utenti ma jistgħux itellgħu listi tal-klijenti fil-portal tal-fajls» huma sentenzi differenti, u t-tieni waħda biss tiddeskrivi politika tal-kontenut.
Agħżel il-komponent li jista' jara l-fajl
L-infurzar irid iseħħ fejn il-fajl huwa qari. Għall-email, normalment huwa l-pjattaforma tal-posta jew il-gateway, li diġà tittratta annessi u tista' tevalwahom qabel il-kunsinna. Għal tlugħ mill-browser fi servizz approvat, l-applikazzjoni nnifisha tista' tkun l-unika parti li tara l-kontenut. Għal laptop ġestit li jikkopja fajls fuq midja li tista' titneħħa, aġent tal-punt aħħari jara l-operazzjoni.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Xi pakketti kummerċjali tal-aċċess mill-bogħod jiġbru flimkien aġent tal-punt aħħari, kontroll web u modulu tal-prevenzjoni tat-telf tad-data. Dawk il-komponenti jistgħu jinfurzaw politika tal-kontenut, iżda l-kapaċità tappartjeni lill-modulu u mhux lit-tunnellaġġ. Aqra x'jinkludi tabilħaqq il-pakkett qabel ma twiegħed ir-riżultat.
Mudell utli għat-tqabbil huwa l- ħarsa ġenerali tal-Purview dwar il-prevenzjoni tat-telf tad-data ta' Microsoft: tiddeskrivi l-politiki f'termini ta' tipi ta' informazzjoni sensittiva, postijiet u attivitajiet. Dak il-vokabular huwa dwar kontenut u azzjonijiet, mhux dwar prefissi tal-IP.
TLS jgħix il-mina, għalhekk ippjana għal dan
Il-kriptaġġ tal-applikazzjoni jiġi nnegozjat bejn il-klijent u s-servizz, u mina VPN iġġorr dawk il-bytes mingħajr ma tiftaħhom. Għalhekk gateway fit-triq mhux awtomatikament jakkwista l-kapaċità li jikklassifika anness, kemm jekk jippossjedi parti mit-triq.
Biex tispezzjona kontenut fi transitu għandek bżonn komponent li jtemm TLS b'ċertifikat affidabbli, u dan huwa deċiżjoni arkitettonika sostanzjali bil-konsegwenzi tagħha tal-privatezza u l-operazzjonijiet. Mhuwiex kaxxa fil-profil tal-VPN. Il-klijenti jridu jafdaw iċ-ċertifikat tal-ispezzjoni, applikazzjonijiet li jwaħħlu ċertifikati se jinqasmu, u l-operatur jakkwista l-kapaċità li jaqra traffiku li qabel ma setax. Dawn huma r-raġunijiet għaliex din id-deċiżjoni tappartjeni lil sid tas-sigurtà u mhux lil min imexxi l-mina.
Għalhekk it-tweġiba onesta għal «tista' l-VPN timblokka dan it-tlugħ» normalment hija le, segwita minn alternattiva konkreta. L-alternattiva tista' tkun restrizzjonijiet fil-livell tal-applikazzjoni, regola tal-posta jew politika tal-punt aħħari, u kull waħda għandha sid li jista' jbiddilha.
Ikteb it-test tal-aċċettazzjoni qabel ir-regola
Regola tal-kontenut teħtieġ żewġ eżempji, mhux wieħed: azzjoni permessa li trid tibqa' taħdem, u azzjoni projbita li trid titwaqqaf. Ipprova t-tnejn mill-applikazzjonijiet u l-apparati fl-ambitu, għax politika li taħdem biss fi browser wieħed mhijiex il-politika li talab xi ħadd.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadL-ewwel talba għandha tiġi miċħuda mill-komponent li jippossjedi r-regola, u t-tieni għandha tirnexxi. Jekk it-tnejn jirnexxu, il-kontroll mhuwiex fit-triq. Jekk it-tnejn jonqsu, tkun kissirt is-servizz minflok ipproteġejtu, li huwa r-riżultat aktar komuni ta' regola miktuba mingħajr eżempju permess.
Iddeċiedi bil-quddiem x'jara l-utent, min jista' jagħti eċċezzjoni u fejn amministratur jikkonferma d-deċiżjoni wara. Tlugħ imblukkat mingħajr messaġġ jipproduċi ticket ta' appoġġ, u regola li ħadd ma jista' jawditja tipproduċi argument. It-tnejn jistgħu jiġu evitati b'sentenza waħda ta' dokumentazzjoni miktuba qabel il-politika tidħol fis-seħħ.
Fl-aħħar, żomm iż-żewġ rekwiżiti fi tickets separati b'sidien separati. Li tgħaqqadhom taħt «VPN» tiggarantixxi li t-tim tan-netwerk jiġi mitlub isolvi problema tal-kontenut, u li l-problema tal-kontenut tiġi ddikjarata solvuta meta l-mina titla'.