IPS blokkeerde een database via VPN: bakende uitzondering af
Een VPN stelt intern databaseverkeer niet vrij van inspectie. Vergelijk het onderdrukken van een signatuur, het uitsluiten van een bron en het uitschakelen van een categorie voordat u kiest.
Databaseverbindingen binnen een VPN worden nog steeds geblokkeerd door de IPS, het gebeurtenissenlog noemt de oorzaak, en de snelste reparatie lijkt op een uitzondering. Let eerst op wat de tunnel werkelijk verandert. Hij beschermt verkeer tussen zijn eindpunten en geeft daarna gewone interne pakketten aan wat de binnenkant van het netwerk inspecteert, en dat is precies waar de signatuur afging. De tunnel is geen vrijstelling, en de detectie is niet automatisch onjuist.
Decapsulatie is waar de inspectie hervat
Verkeer dat een tunnel verlaat komt aan als gewone IP-pakketten die aan de databasehost zijn gericht. Elk apparaat voor inbraakpreventie op dat pad beoordeelt ze volgens zijn eigen beleid, waardoor een verbinding die een versleutelde verbinding overstak nog steeds kan worden weggegooid door een regel die voor het interne netwerk is geschreven.
End-to-end TLS is de grens van die zichtbaarheid. Wanneer de client het certificaat van de databaseserver verifieert, verwerkt het inspectieapparaat de verbinding maar kan de applicatielading niet lezen, dus een detectie daar komt overeen met metadata in plaats van querytekst. Slaat u dat detail over, dan lijkt elke geblokkeerde verbinding een bewijs van diepe inspectie. Beide feiten tellen: het apparaat is niet blind, en het leest ook niet alles.
Een detectie is niet standaard een valse positieve
De signatuur bestaat om een patroon te vangen, en verwacht zakelijk verkeer kan nog steeds een werkelijk kwetsbaar codepad doorlopen. Koppel eerst de geregistreerde gebeurtenis aan de applicatiebewerking: tijdstempel, interne bron en bestemming, poorten, signatuuridentificatie en de genomen actie. Die zes velden vertellen u ook of de waarschuwing bij de mislukte verbinding hoort of bij een buur die toevallig bezet was.
Dat een paar pakketten de server bereiken, wijst de IPS niet als oorzaak aan, en een overeenkomende signatuur bewijst niet dat de client legitiem is. Beide lezingen zijn gissingen tot de gebeurtenis wordt gecorreleerd met het eigen rapport van de client. De gecorreleerde gebeurtenis is het bewijs, en de databaseversie maakt deel uit van het oordeel.
Drie uitzonderingsbereiken en wat elk verwijdert
De opties verschillen in hoeveel inspectie ze uitschakelen, en het verschil is groter dan de interface van de instelling suggereert. Het onderdrukken van een signatuur verwijdert één regel voor het verkeer dat erbij past. Het uitsluiten van een bron verwijdert inspectie van alles van dat adres. Het uitschakelen van een categorie verwijdert een familie regels, soms in het hele beleid.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Geef de voorkeur aan de eerste rij wanneer het product die kan uitdrukken. Kan het dat niet, escaleer dan de beperking in plaats van een brede uitzondering als een precieze voor te stellen; wie haar goedkeurt, hoort het verschil schriftelijk te zien.
Het bereik dat u denkt te hebben ingesteld
Vertaling verandert wat een uitzondering dekt. Wanneer meerdere VPN-clients achter één vertaald adres verschijnen, stelt het uitsluiten van dat adres ze allemaal vrij, wat veel breder is dan de enkele bevinding die het onderzoek begon.
Controleer het effectieve bereik in plaats van het formulier dat u invulde, en noteer de incidentidentificatie naast de regel. Een uitzondering zonder reden wordt permanent beleid, en de volgende beoordelaar kan niet weten of zij nog geldt.
Test de bewerking en de grens opnieuw
Herhaal dezelfde onschadelijke databasebewerking en bevestig dat de verbinding voltooit, bevestig daarna dat ongerelateerde detecties nog steeds afgaan in een test die ze zou moeten activeren. Connectiviteit herstellen is één acceptatiecriterium; de bedoelde grens behouden is het andere.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Schrijf op wat is uitgezonderd, waarom, en wanneer het opnieuw moet worden bekeken na de volgende signatuurupdate of applicatie-upgrade. Een onderdrukking die volgens een schema opnieuw wordt gelezen is een technische beslissing; een die niemand onthoudt is een langzame uitbreiding van de vertrouwensgrens.