IPS zablokował bazę danych przez VPN: wyznacz zakres wyjątku

Połączenia z bazą danych wewnątrz VPN nadal są blokowane przez IPS, dziennik zdarzeń wskazuje przyczynę, a najszybsza naprawa wygląda jak wyjątek. Najpierw zwróć uwagę, co tunel naprawdę zmienia. Chroni ruch między swoimi punktami końcowymi, a następnie przekazuje zwykłe wewnętrzne pakiety temu, co sprawdza wnętrze sieci, i to jest dokładnie miejsce, w którym zadziałała sygnatura. Tunel nie jest zwolnieniem, a wykrycie nie jest automatycznie błędne.

Dekapsulacja to miejsce, w którym kontrola jest wznawiana

Ruch opuszczający tunel dociera jako zwykłe pakiety IP adresowane do hosta bazy danych. Każde urządzenie zapobiegania włamaniom na tej ścieżce ocenia je według własnej polityki, dlatego połączenie, które przeszło przez szyfrowane łącze, nadal może zostać odrzucone przez regułę napisaną dla sieci wewnętrznej.

TLS od końca do końca jest granicą tej widoczności. Gdy klient weryfikuje certyfikat serwera bazy danych, urządzenie kontrolne przetwarza połączenie, ale nie może odczytać ładunku aplikacji, więc wykrycie tam odpowiada metadanym, a nie tekstowi zapytania. Pomiń ten szczegół, a każde zablokowane połączenie będzie wyglądać jak dowód głębokiej kontroli. Oba fakty się liczą: urządzenie nie jest ślepe i nie czyta też wszystkiego.

Wykrycie nie jest domyślnie fałszywie dodatnie

Sygnatura istnieje, aby wychwycić wzorzec, a oczekiwany ruch biznesowy nadal może przejść rzeczywiście podatną ścieżką kodu. Najpierw dopasuj zapisane zdarzenie do operacji aplikacji: znacznik czasu, wewnętrzne źródło i cel, porty, identyfikator sygnatury i podjęte działanie. Te sześć pól mówi też, czy alert należy do nieudanego połączenia, czy do sąsiada, który przypadkiem był zajęty.

Dotarcie kilku pakietów do serwera nie wskazuje IPS jako przyczyny, a pasująca sygnatura nie dowodzi, że klient jest legalny. Oba odczyty są domysłami, dopóki zdarzenie nie zostanie skorelowane z raportem samego klienta. Skorelowane zdarzenie jest dowodem, a wersja bazy danych jest częścią oceny.

Trzy zakresy wyjątku i co każdy usuwa

Opcje różnią się tym, ile kontroli wyłączają, a różnica jest większa, niż sugeruje interfejs ustawienia. Tłumienie sygnatury usuwa jedną regułę dla ruchu, do którego pasuje. Wykluczenie źródła usuwa kontrolę wszystkiego z tego adresu. Wyłączenie kategorii usuwa rodzinę reguł, czasem w całej polityce.

Preferuj pierwszy wiersz, gdy produkt potrafi go wyrazić. Gdy nie potrafi, eskaluj ograniczenie zamiast przedstawiać szeroki wyjątek jako precyzyjny; osoba, która go zatwierdza, powinna zobaczyć różnicę na piśmie.

Zakres, który według ciebie ustawiłeś

Tłumaczenie zmienia to, co obejmuje wyjątek. Gdy za jednym przetłumaczonym adresem pojawia się kilku klientów VPN, wykluczenie tego adresu zwalnia ich wszystkich, co jest znacznie szersze niż pojedyncze ustalenie, które rozpoczęło dochodzenie.

Sprawdź obowiązujący zakres, a nie formularz, który wypełniłeś, i zapisz identyfikator incydentu obok reguły. Wyjątek bez powodu staje się trwałą polityką, a następny recenzent nie ma sposobu, by wiedzieć, czy nadal obowiązuje.

Przetestuj ponownie operację i granicę

Powtórz tę samą nieszkodliwą operację na bazie danych i potwierdź, że połączenie się kończy, a następnie potwierdź, że niepowiązane wykrycia nadal się uruchamiają w teście, który powinien je wywołać. Przywrócenie łączności to jedno kryterium akceptacji; zachowanie zamierzonej granicy to drugie.

nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"

Zapisz, co wykluczono, dlaczego i kiedy to przejrzeć po następnej aktualizacji sygnatur lub uaktualnieniu aplikacji. Tłumienie, które jest regularnie czytane ponownie, jest decyzją inżynierską; takie, którego nikt nie pamięta, jest powolnym rozszerzaniem granicy zaufania.