VPN नियमले एउटा फाइल अपलोड हुनबाट किन रोक्न सक्दैन
कुनै सेवासम्म पुग्नु र त्यसबाट कुन फाइलहरू बाहिर जान्छन् भन्ने नियन्त्रण गर्नु दुई फरक आवश्यकता हुन्। नियम त्यहाँ राख्नुहोस् जहाँ फाइल देखिन्छ: मेल, एप्लिकेसन वा इन्डपोइन्ट एजेन्ट।
एउटा सानो टोलीले आफ्ना कार्य प्रणालीमा टाढाबाट पहुँच माग्छ र त्यही सासमा केही संलग्नहरू कम्पनी छोड्न छोड्न भन्छ। दुवै अनुरोध एउटै VPN परिवर्तनजस्तो सुनिन्छ। ती फरक कार्यान्वयन बिन्दु भएका दुई आवश्यकता हुन्, र पहिलो पूरा गर्ने नियम दोस्रोका लागि केही गर्दैन। पहिले कार्य र डेटाको नाम लिनुहोस्, त्यसपछि तिनलाई साँच्चै देख्न सक्ने घटक छान्नुहोस्।
एउटा अनुरोध, दुई आवश्यकता
पहिलो आवश्यकता पहुँचयोग्यताबारे हो: कुन प्रयोगकर्ता र उपकरणले कुन सेवासँग जडान खोल्न सक्छन्। दोस्रो त्यो जडान अस्तित्वमा आएपछिको व्यवहारबारे हो: कुन कागजात संलग्न, टाँस्न वा अपलोड गर्न सकिन्छ। सुरुङ पहिलोमा काम गर्छ र डिजाइनअनुसार दोस्रोपट्टि अन्धो छ।
IP स्तरको नियन्त्रणले प्याकेट अगाडि पठाउँछ। यसले बहु-भाग अपलोड विश्लेषण गर्दैन, PDF जाँच्दैन र स्प्रेडसिटमा खाता नम्बर छन् कि छैनन् भनी निर्णय गर्दैन। यसबाट त्यस्तो अपेक्षा गर्नु कन्फिगरेसन गल्ती होइन; त्यो वर्ग गल्ती हो।
उत्पादन खोज्नु अघि आवश्यकता त्यही रूपमा ठूलो स्वरले भन्नुहोस्। «प्रयोगकर्ताले फाइल पोर्टलसम्म पुग्न सक्छन्» र «प्रयोगकर्ताले ग्राहक सूचीहरू फाइल पोर्टलमा अपलोड गर्न सक्दैनन्» फरक वाक्य हुन्, र दोस्रोले मात्र सामग्री नीति वर्णन गर्छ।
फाइल देख्न सक्ने घटक छान्नुहोस्
कार्यान्वयन फाइल पढ्न सकिने ठाउँमा हुनुपर्छ। इमेलका लागि त्यो सामान्यतया मेल प्लेटफर्म वा गेटवे हो, जसले पहिले नै संलग्नहरू सम्हाल्छ र डेलिभरी अघि तिनको मूल्याङ्कन गर्न सक्छ। स्वीकृत सेवामा ब्राउजर अपलोडका लागि एप्लिकेसन आफैं सामग्री देख्ने एकमात्र पक्ष हुन सक्छ। व्यवस्थित ल्यापटपले फाइलहरू हटाउन सकिने मिडियामा प्रतिलिपि गर्दा इन्डपोइन्ट एजेन्टले त्यो कार्य देख्छ।
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
केही व्यावसायिक टाढा-पहुँच प्याकेजहरूले इन्डपोइन्ट एजेन्ट, वेब नियन्त्रण र डेटा-हानि रोकथाम मोड्युल एकैसाथ दिन्छन्। ती घटकहरूले सामग्री नीति लागू गर्न सक्छन्, तर क्षमता सुरुङको होइन, मोड्युलको हो। नतिजाको वाचा गर्नु अघि प्याकेजमा वास्तवमा के छ पढ्नुहोस्।
Microsoft को Purview डेटा-हानि रोकथाम अवलोकन तुलनाका लागि उपयोगी नमुना हो: यसले नीतिहरूलाई संवेदनशील सूचनाका प्रकार, स्थान र गतिविधिका रूपमा वर्णन गर्छ। त्यो शब्दावली सामग्री र कार्यबारे हो, IP उपसर्गबारे होइन।
TLS सुरुङबाट बाँच्न्छ, त्यसैले यसको योजना बनाउनुहोस्
एप्लिकेसन इन्क्रिप्सन ग्राहक र सेवाबीच वार्ताद्वारा तय हुन्छ, र VPN सुरुङले ती बाइटहरू नखोली बोक्छ। त्यसैले बाटोमा रहेको गेटवेले संलग्न वर्गीकृत गर्ने क्षमता स्वतः पाउँदैन, मार्गको जति भाग यसको होस्।
यात्रामा सामग्री जाँच्न विश्वसनीय प्रमाणपत्रसँग TLS अन्त्य गर्ने घटक चाहिन्छ, र यो आफ्नै गोपनीयता र सञ्चालन परिणाम भएको ठूलो संरचना निर्णय हो। यो VPN प्रोफाइलको चेकबक्स होइन। ग्राहकहरूले जाँच प्रमाणपत्रमा विश्वास गर्नुपर्छ, प्रमाणपत्र पिन गर्ने एप्लिकेसनहरू भाँचिनेछन्, र अपरेटरले पहिले पढ्न नसकेको ट्राफिक पढ्ने क्षमता पाउँछ। यही कारणले यो निर्णय सुरुङ चलाउनेको होइन, सुरक्षा मालिकको हो।
त्यसैले «के VPN ले यो अपलोड रोक्न सक्छ» भन्ने प्रश्नको इमानदार उत्तर सामान्यतया होइन हो, र त्यसपछि ठोस विकल्प आउँछ। विकल्प एप्लिकेसन-स्तरीय प्रतिबन्ध, मेल नियम वा इन्डपोइन्ट नीति हुन सक्छ, र प्रत्येकको यसलाई बदल्न सक्ने मालिक हुन्छ।
नियमअघि स्वीकृति परीक्षण लेख्नुहोस्
सामग्री नियमलाई एक होइन, दुई उदाहरण चाहिन्छ: चलिरहनुपर्ने अनुमत कार्य र रोकिनुपर्ने निषेधित कार्य। दायराभित्रका एप्लिकेसन र उपकरणबाट दुवै परीक्षण गर्नुहोस्, किनकि एउटै ब्राउजरमा मात्र चल्ने नीति कसैले मागेको नीति होइन।
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadपहिलो अनुरोध नियम राख्ने घटकले अस्वीकार गर्नुपर्छ, र दोस्रो सफल हुनुपर्छ। दुवै सफल भए नियन्त्रण मार्गमा छैन। दुवै असफल भए तपाईंले सेवा जोगाउनुको सट्टा भाँच्नुभयो, जो अनुमत उदाहरणबिना लेखिएको नियमको बढी सामान्य नतिजा हो।
प्रयोगकर्ताले के देख्छ, कसले अपवाद दिन सक्छ र प्रशासकले पछि कहाँ निर्णय पुष्टि गर्छ भन्ने पहिले नै तय गर्नुहोस्। सन्देशबिना अवरुद्ध अपलोडले समर्थन टिकट बनाउँछ, र जो नियम कसैले अडिट गर्न सक्दैन त्यसले विवाद बनाउँछ। नीति लागू हुनु अघि लेखिएको एक वाक्यको कागजातले दुवै टार्न सकिन्छ।
अन्तमा, दुवै आवश्यकता फरक मालिकसहित फरक टिकटमा राख्नुहोस्। तिनलाई «VPN» मुनि एकै ठाउँमा राख्दा नेटवर्क टोलीलाई सामग्री समस्या समाधान गर्न भनिनेछ, र सुरुङ उठ्नेबित्तिकै सामग्री समस्या समाधान भएको घोषणा गरिनेछ भन्ने सुनिश्चित हुन्छ।