IPS blokkerte ein database over VPN: avgrens unntaket
Ein VPN fritek ikkje den interne databasetrafikken frå inspeksjon. Samanlikn undertrykking av signaturar, utelukking av kjelde og deaktivering av kategori før du vel.
Databasekoplingar inne i ein VPN blir framleis blokkerte av IPS-en, hendingsloggen oppgir årsaka, og den raskaste reparasjonen ser ut som eit unntak. Før det, legg merke til kva tunnelen faktisk endrar. Han vernar trafikk mellom endepunkta sine og overlet deretter vanlege indre pakkar til det som inspiserer innsida av nettet, som er nøyaktig der signaturen utløyste. Tunnelen er ikkje eit unntak, og deteksjonen er ikkje automatisk feil.
Dekapsulering er der inspeksjonen blir teken opp att
Trafikk som forlèt ein tunnel kjem inn som vanlege IP-pakkar adresserte til databaseverten. Kvar eining for inntrengingsvern på den vegen vurderer dei etter si eiga retningslinje, og difor kan ei kopling som kryssa ei kryptert lenkje framleis bli sleppt av ei regel skriven for det indre nettet.
Ende-til-ende TLS er grensa for den synlegheita. Når klienten stadfester sertifikatet til databaseserveren, handsamar inspeksjonseininga koplinga, men kan ikkje lese applikasjonslasta, så ein deteksjon der svarar til metadata snarare enn spørjetekst. Hoppar du over den detaljen, ser kvar blokkert kopling ut som prov på djup inspeksjon. Begge fakta tel: eininga er ikkje blind, og ho les heller ikkje alt.
Ein deteksjon er ikkje ein falsk positiv som standard
Signaturen finst for å fange eit mønster, og forventa forretningstrafikk kan framleis gå gjennom ein reelt sårbar kodesti. Match først den registrerte hendinga mot applikasjonsoperasjonen: tidsstempel, indre kjelde og mål, portar, signaturidentifikator og handlinga som vart gjord. Dei seks felta fortel deg òg om varselet høyrer til koplinga som feila, eller til ein nabo som tilfeldigvis var oppteken.
At nokre få pakkar når serveren identifiserer ikkje IPS-en som årsak, og ein samsvarande signatur beviser ikkje at klienten er legitim. Begge lesingane er gissingar til hendinga blir korrelert med klienten sin eigen rapport. Den korrelerte hendinga er beviset, og databaseversjonen er ein del av vurderinga.
Tre unntaksomfang og kva kvar fjernar
Alternativa skil seg i kor mykje inspeksjon dei slår av, og skilnaden er større enn grensesnittet til innstillinga antyder. Undertrykking av ein signatur fjernar éi regel for trafikken han svarar til. Utelukking av ei kjelde fjernar inspeksjon av alt frå den adressa. Deaktivering av ein kategori fjernar ein familie av reglar, stundom i heile retningslinja.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Føretrekk den første rada når produktet kan uttrykke det. Når det ikkje kan, eskaler avgrensinga i staden for å presentere eit breitt unntak som eit presist; personen som godkjenner det, bør sjå skilnaden skriftleg.
Omfanget du trur du har sett
Omsetjing endrar kva eit unntak dekkjer. Når fleire VPN-klientar dukkar opp bak éi omsett adresse, fritek utelukkinga av den adressa dei alle, noko som er langt breiare enn det eine funnet som starta undersøkinga.
Kontroller det effektive omfanget i staden for skjemaet du fylte ut, og noter hendingsidentifikatoren ved sida av regelen. Eit unntak utan grunngiving blir permanent retningslinje, og neste gjennomgang har ingen måte å vite om det framleis gjeld.
Test operasjonen og grensa på nytt
Gjenta den same ufarlege databaseoperasjonen og stadfest at koplinga blir fullført, og stadfest deretter at urelaterte deteksjonar framleis blir utløyste i ein test som skal framkalle dei. Å gjenopprette tilkoplinga er eitt akseptkriterium; å behalde den tiltenkte grensa er det andre.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Skriv ned kva som vart unnateke, kvifor, og når det skal takast opp att etter neste signaturoppdatering eller applikasjonsoppgradering. Ei undertrykking som blir lesen på nytt etter ein plan, er ei ingeniøravgjerd; ei som ingen hugsar, er ei langsam utviding av tillitsgrensa.