IPS blokkerte en database over VPN: avgrens unntaket
En VPN fritar ikke den interne databasetrafikken fra inspeksjon. Sammenlign undertrykking av signaturer, utelukkelse av kilde og deaktivering av kategori før du velger.
Databaseforbindelser inne i en VPN blir fortsatt blokkert av IPS-en, hendelsesloggen oppgir årsaken, og den raskeste reparasjonen ser ut som et unntak. Før det, legg merke til hva tunnelen faktisk endrer. Den beskytter trafikk mellom endepunktene sine og overleverer deretter vanlige indre pakker til det som inspiserer innsiden av nettverket, som er nøyaktig der signaturen utløste. Tunnelen er ikke et unntak, og deteksjonen er ikke automatisk feil.
Dekapsulering er der inspeksjonen gjenopptas
Trafikk som forlater en tunnel ankommer som vanlige IP-pakker adressert til databaseverten. Enhver enhet for inntrengningsforebygging på den veien vurderer dem etter sin egen policy, og derfor kan en forbindelse som krysset en kryptert lenke fortsatt bli droppet av en regel skrevet for det indre nettverket.
Ende-til-ende TLS er grensen for den synligheten. Når klienten verifiserer sertifikatet til databaseserveren, behandler inspeksjonsenheten forbindelsen, men kan ikke lese applikasjonsnyttelasten, så en deteksjon der samsvarer med metadata snarere enn spørringstekst. Hopp over den detaljen, og enhver blokkert forbindelse ser ut som bevis på dyp inspeksjon. Begge fakta teller: enheten er ikke blind, og den leser heller ikke alt.
En deteksjon er ikke en falsk positiv som standard
Signaturen finnes for å fange et mønster, og forventet forretningstrafikk kan fortsatt gå gjennom en reelt sårbar kodesti. Match først den registrerte hendelsen mot applikasjonsoperasjonen: tidsstempel, indre kilde og destinasjon, porter, signaturidentifikator og handlingen som ble utført. De seks feltene forteller deg også om varselet hører til forbindelsen som feilet, eller til en nabo som tilfeldigvis var opptatt.
At noen få pakker når serveren identifiserer ikke IPS-en som årsak, og en samsvarende signatur beviser ikke at klienten er legitim. Begge lesningene er gjetninger til hendelsen korreleres med klientens egen rapport. Den korrelerte hendelsen er beviset, og databaseversjonen er en del av vurderingen.
Tre unntaksomfang og hva hver fjerner
Alternativene skiller seg i hvor mye inspeksjon de slår av, og forskjellen er større enn grensesnittet til innstillingen antyder. Undertrykking av en signatur fjerner én regel for trafikken den samsvarer med. Utelukkelse av en kilde fjerner inspeksjon av alt fra den adressen. Deaktivering av en kategori fjerner en familie av regler, noen ganger i hele policyen.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Foretrekk den første raden når produktet kan uttrykke det. Når det ikke kan, eskaler begrensningen i stedet for å presentere et bredt unntak som et presist; personen som godkjenner det, bør se forskjellen skriftlig.
Omfanget du tror du har satt
Oversettelse endrer hva et unntak dekker. Når flere VPN-klienter dukker opp bak én oversatt adresse, fritar utelukkelsen av den adressen dem alle, noe som er langt bredere enn det ene funnet som startet undersøkelsen.
Kontroller det effektive omfanget i stedet for skjemaet du fylte ut, og noter hendelsesidentifikatoren ved siden av regelen. Et unntak uten begrunnelse blir permanent policy, og neste gjennomgang har ingen måte å vite om det fortsatt gjelder.
Test operasjonen og grensen på nytt
Gjenta den samme ufarlige databaseoperasjonen og bekreft at forbindelsen fullføres, og bekreft deretter at urelaterte deteksjoner fortsatt utløses i en test som skal fremkalle dem. Å gjenopprette tilkoblingen er ett akseptkriterium; å beholde den tiltenkte grensen er det andre.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Skriv ned hva som ble unntatt, hvorfor, og når det skal tas opp igjen etter neste signaturoppdatering eller applikasjonsoppgradering. En undertrykking som leses på nytt etter en plan, er en ingeniørbeslutning; en som ingen husker, er en langsom utvidelse av tillitsgrensen.