Co może oznaczać reguła dostępu według nazwy hosta na każdej warstwie sieci
Nazwę usługi można egzekwować na poziomie DNS, przeglądarki, proxy lub zapory sieciowej. Wybierz warstwę, która widzi tożsamość, którą chcesz zarządzać.
Trzy osoby proszą o to samo tymi samymi słowami: zablokować dostęp do jednej nazwy usługi. Jedna ma na myśli, że przeglądarka nie powinna otwierać witryny, druga, że klient głosowy na pulpicie nie powinien docierać do swojego serwera, a trzecia, że grupa wykonawców nie powinna używać określonej aplikacji wewnętrznej. Zdanie jest identyczne, a mechanizmy egzekwowania nie mają prawie nic wspólnego.
Wybierz warstwę według identyfikatora, który naprawdę widzi, a następnie według klientów, których obejmuje. Zaczynanie od polecenia zapory, które już znasz, to droga, na której reguły ostatecznie niczego nie blokują albo blokują zbyt wiele.
Nazwa nie jest tożsamością, którą może sprawdzić każda warstwa
Netfilter i podobne filtry pakietów widzą adresy, protokoły i porty. Nie widzą nazw hostów, a zanim pakiet do nich dotrze, nazwa została już rozwiązana. Reguła napisana wobec adresu jest regułą o tym adresie, niezależnie od tego, jaką nazwę wpisał użytkownik, aby do niego dotrzeć.
Polityka DNS znajduje się wcześniej na ścieżce i widzi zapytanie, które jest innym obiektem niż następujące po nim połączenie. Rządzi odpowiedziami zwracanymi przez kontrolowany resolver, a nie połączeniami, które już były otwarte, ani klientami skonfigurowanymi tak, by omijać ten resolver. Rozwiązany adres może się też zmienić między przeglądem polityki a następnym żądaniem, dlatego odpowiedź DNS nie jest trwałym oświadczeniem autoryzacji.
Wyższe warstwy widzą więcej kontekstu i obejmują mniej klientów. Ta wymiana to cały temat i wyjaśnia, dlaczego żaden pojedynczy wiersz tabeli nigdy nie jest właściwą odpowiedzią. Wybierz wiersz, który widzi identyfikator, którego naprawdę dotyczy twoja polityka. Następnie zaakceptuj zasięg, jaki ten wiersz implikuje.
Co może zidentyfikować każda warstwa
Czytaj tabelę od środkowej kolumny na zewnątrz: identyfikator, który warstwa widzi, dyktuje politykę, którą może uczciwie egzekwować.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Warstwa należy do polityki tylko wtedy, gdy widziany przez nią identyfikator odpowiada identyfikatorowi, którym zarządzasz. Tabela wyjaśnia też, dlaczego reguła napisana na jednej warstwie rzadko przenosi się na inną bez ponownego rozstrzygnięcia, czego chroni.
Gdzie zawodzi oczywista reguła
Reguła adresowa jest dokładnie właściwa dla usługi z dedykowanym adresem, który kontrolujesz, i tę własność należy zapisać w polityce. Jest dokładnie niewłaściwa dla wszystkiego za współdzielonym adresem dostarczania treści, gdzie ta sama reguła dotyka niepowiązanych usług, a odświeżona odpowiedź DNS nie czyni reguły autoryzacją nazwy hosta.
Polityka zarządzanej przeglądarki wyraża ograniczenie internetowe bardziej bezpośrednio niż skopiowana lista adresów, ale dotyczy przeglądarek i profili, którymi zarządza system zarządzania.
Ta reguła przeglądarki nic nie robi z klientem głosowym wysyłającym UDP do innego hosta, a jej wzorce są definiowane przez ten produkt, a nie przez konwencje symboli wieloznacznych zapożyczone skądinąd. Proxy CONNECT również otrzymuje host i port dla żądania tunelowanego i nie potrafi odczytać ścieżki wewnątrz zaszyfrowanej sesji. Projektuj regułę wokół tego, co ujawnia protokół. Następnie zapisz, co pozostawia nieobjęte, bo właśnie ta luka jest źródłem następnego żądania.
Wybieraj według klientów, nie według polecenia
Zapytaj, które klienty polityka musi objąć, a które może pominąć. Polityka zarządzanej przeglądarki obejmuje to, do czego dociera system zarządzania, i zatrzymuje się na granicy przeglądarki. Polityka resolvera obejmuje wszystko, co używa twojego resolvera, czyli szerszy zbiór, i zawodzi otwarcie dla każdego, kto tego nie robi.
Dla usługi, którą obsługujesz, autoryzacja w aplikacji jest silniejsza niż jakakolwiek granica sieci, ponieważ podąża za kontem, a nie za ścieżką. Trasa VPN to osiągalność i nic więcej: możliwość wysłania pakietu do usługi nie jest pozwoleniem na jej używanie. Tam, gdzie ważnym identyfikatorem jest użytkownik lub uprawnienie kanału, egzekwuj je tam, a regułę sieciową traktuj jako drugą warstwę.
Napisz regułę w kategoriach zasobu
Możliwa do obrony polityka nazywa zasób, tożsamości, aplikacje w zakresie i ścieżkę, która je niesie, w tym obie rodziny adresów w użyciu. Określa też, co dzieje się ze współdzieloną infrastrukturą, którą reguła mimochodem obejmie.
To sformułowanie tworzy decyzję, którą ktoś może później zaudytować. Reguła uzasadniona dzisiejszym rozwiązanym adresem tworzy incydent przy pierwszej zmianie adresu, i nikt nie będzie w stanie wyjaśnić, dlaczego blokada kiedykolwiek była słuszna.