Hvorfor en VPN-regel ikke kan stoppe opplasting av én fil
Å nå en tjeneste og å styre hvilke filer som forlater den, er to krav. Legg regelen der filen er synlig: e-post, applikasjon eller endepunktagent.
Et lite team ber om fjern tilgang til arbeidssystemene sine og ber i samme åndedrag om at visse vedlegg slutter å forlate selskapet. Begge ønskene høres ut som én VPN-endring. De er to krav med ulike håndhevingspunkter, og en regel som oppfyller det første, gjør ingenting for det andre. Begynn med å navngi handlingen og dataene, og velg deretter komponenten som faktisk kan se dem.
Én forespørsel, to krav
Det første kravet handler om nåbarhet: hvilke brukere og enheter som kan åpne en forbindelse til hvilken tjeneste. Det andre handler om atferd etter at forbindelsen finnes: hvilke dokumenter som kan legges ved, limes inn eller lastes opp. En tunnel virker på det første og er blind for det andre av design.
En kontroll på IP-nivå videresender pakker. Den parser ikke en opplasting i flere deler, inspiserer ikke en PDF og avgjør ikke om et regneark inneholder kontonumre. Å forvente det er ikke en konfigurasjonsfeil; det er en kategorifeil.
Si kravet høyt i den formen før du leter etter et produkt. «Brukere kan nå filportalen» og «brukere kan ikke laste opp kundelister til filportalen» er forskjellige setninger, og bare den andre beskriver en innholdspolicy.
Velg komponenten som kan se filen
Håndhevingen må skje der filen er lesbar. For e-post er det vanligvis e-postplattformen eller gatewayen, som allerede håndterer vedlegg og kan vurdere dem før levering. For nettleseropplastinger til en godkjent tjeneste kan applikasjonen selv være den eneste parten som ser innholdet. For en administrert bærbar PC som kopierer filer til flyttbare medier, ser en endepunktagent operasjonen.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Noen kommersielle fjernaksesspakker samler en endepunktagent, en nettkontroll og en modul for å hindre datatap. Disse komponentene kan godt håndheve innholdspolicy, men evnen tilhører modulen og ikke tunnelleringen. Les hva pakken faktisk inneholder før du lover resultatet.
Microsofts oversikt over å hindre datatap i Purview er en nyttig modell å sammenligne med: den beskriver policyer i form av typer sensitive opplysninger, steder og aktiviteter. Det ordforrådet handler om innhold og handlinger, ikke om IP-prefikser.
TLS overlever tunnelen, så planlegg for det
Applikasjonskryptering forhandles mellom klienten og tjenesten, og en VPN-tunnel bærer disse bytene uten å åpne dem. En gateway på veien får derfor ikke automatisk evnen til å klassifisere et vedlegg, uansett hvor mye av ruten den eier.
For å inspisere innhold underveis trenger du en komponent som avslutter TLS med et klarert sertifikat, og det er en betydelig arkitekturbeslutning med egne konsekvenser for personvern og drift. Det er ikke en avkrysningsboks i VPN-profilen. Klienter må stole på inspeksjonssertifikatet, applikasjoner som pinner sertifikater vil brytes, og operatøren får mulighet til å lese trafikk den tidligere ikke kunne. Det er grunnene til at denne beslutningen hører til en sikkerhetseier og ikke til den som driver tunnelen.
Derfor er det ærlige svaret på «kan VPN-en blokkere denne opplastingen» vanligvis nei, etterfulgt av et konkret alternativ. Alternativet kan være begrensninger på applikasjonsnivå, en e-postregel eller en endepunktpolicy, og hver av dem har en eier som kan endre den.
Skriv akseptansetesten før regelen
En innholdsregel trenger to eksempler, ikke ett: en tillatt handling som må fortsette å virke, og en forbudt handling som må stoppes. Test begge fra applikasjonene og enhetene i omfanget, fordi en policy som bare virker i én nettleser, ikke er policyen noen ba om.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadDen første forespørselen bør avvises av komponenten som eier regelen, og den andre bør lykkes. Hvis begge lykkes, er kontrollen ikke på veien. Hvis begge feiler, har du ødelagt tjenesten i stedet for å beskytte den, noe som er det vanligere resultatet av en regel skrevet uten et tillatt eksempel.
Bestem på forhånd hva brukeren ser, hvem som kan gi et unntak og hvor en administrator bekrefter beslutningen etterpå. En blokkert opplasting uten melding gir en støttebillett, og en regel ingen kan revidere gir en diskusjon. Begge kan unngås med én setning dokumentasjon skrevet før policyen trer i kraft.
Til slutt, hold de to kravene i separate saker med separate eiere. Å samle dem under «VPN» garanterer at nettverksteamet blir bedt om å løse et innholdsproblem, og at innholdsproblemet blir erklært løst når tunnelen kommer opp.