O IPS bloqueou um banco de dados via VPN: delimite a exceção
Uma VPN não isenta o tráfego interno do banco de dados da inspeção. Compare a supressão de assinaturas, a exclusão de origem e a desativação de categoria antes de escolher.
As conexões ao banco de dados dentro de uma VPN continuam a ser bloqueadas pelo IPS, o registo de eventos indica a causa, e a reparação mais rápida parece uma exclusão. Antes disso, note o que o túnel realmente altera. Protege o tráfego entre os seus extremos e depois entrega pacotes internos simples ao que inspeciona o interior da rede, que é exatamente onde a assinatura disparou. O túnel não é uma isenção, e a deteção não está automaticamente errada.
A desencapsulação é onde a inspeção recomeça
O tráfego que deixa um túnel chega como pacotes IP comuns endereçados ao anfitrião do banco de dados. Qualquer dispositivo de prevenção de intrusões nesse caminho avalia-os segundo a sua própria política, e é por isso que uma ligação que atravessou um elo cifrado ainda pode ser descartada por uma regra escrita para a rede interna.
O TLS de ponta a ponta é o limite dessa visibilidade. Quando o cliente verifica o certificado do servidor do banco de dados, o dispositivo de inspeção processa a ligação mas não consegue ler a carga da aplicação, pelo que uma deteção ali corresponde a metadados em vez do texto da consulta. Ignore esse detalhe e cada ligação bloqueada parecerá prova de inspeção profunda. Ambos os factos contam: o dispositivo não está cego, e também não lê tudo.
Uma deteção não é um falso positivo por omissão
A assinatura existe para apanhar um padrão, e o tráfego de negócio esperado ainda pode percorrer um caminho de código genuinamente vulnerável. Primeiro faça corresponder o evento registado à operação da aplicação: marca temporal, origem e destino internos, portas, identificador da assinatura e a ação tomada. Esses seis campos também lhe dizem se o alerta pertence à ligação que falhou ou a um vizinho que por acaso estava ocupado.
A chegada de alguns pacotes ao servidor não identifica o IPS como causa, e uma assinatura coincidente não prova que o cliente seja legítimo. Ambas as leituras são conjeturas até o evento ser correlacionado com o relatório do próprio cliente. O evento correlacionado é a evidência, e a versão do banco de dados faz parte do juízo.
Três âmbitos de exceção e o que cada um remove
As opções diferem na quantidade de inspeção que desativam, e a diferença é maior do que sugere a interface da definição. A supressão de assinaturas remove uma regra para o tráfego que corresponde. A exclusão de origem remove a inspeção de tudo o que venha desse endereço. Desativar uma categoria remove uma família de regras, por vezes em toda a política.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Prefira a primeira linha sempre que o produto a possa exprimir. Quando não puder, escale a limitação em vez de apresentar uma exclusão ampla como precisa; quem a aprova deve ver a diferença por escrito.
O âmbito que julga ter definido
A tradução altera o que uma exclusão abrange. Quando vários clientes VPN aparecem atrás de um endereço traduzido, excluir esse endereço isenta-os todos, o que é muito mais amplo do que o único achado que iniciou a investigação.
Verifique o âmbito efetivo em vez do formulário que preencheu, e registe o identificador do incidente junto à regra. Uma exclusão sem motivo torna-se política permanente, e o próximo revisor não tem forma de saber se ainda se aplica.
Volte a testar a operação e o limite
Repita a mesma operação inofensiva no banco de dados e confirme que a ligação se conclui, depois confirme que deteções não relacionadas ainda disparam num teste que as deveria ativar. Restaurar a conectividade é um critério de aceitação; manter o limite pretendido é o outro.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Anote o que foi excecionado, porquê e quando revisitar isso após a próxima atualização de assinaturas ou melhoria da aplicação. Uma supressão que é relida segundo um calendário é uma decisão de engenharia; uma que ninguém recorda é uma expansão lenta do limite de confiança.