IPS-ul a blocat o bază de date prin VPN: delimitați excepția
Un VPN nu scutește traficul intern al bazei de date de inspecție. Comparați suprimarea semnăturii, excluderea sursei și dezactivarea categoriei înainte de a alege.
Conexiunile la baza de date din interiorul unui VPN sunt în continuare blocate de IPS, jurnalul de evenimente numește cauza, iar cea mai rapidă remediere arată ca o excepție. Înainte de asta, observați ce schimbă de fapt tunelul. Protejează traficul între capetele sale și apoi predă pachete interne simple celui care inspectează interiorul rețelei, care este exact locul unde semnătura s-a declanșat. Tunelul nu este o scutire, iar detectarea nu este automat greșită.
Decapsularea este locul unde inspecția se reia
Traficul care părăsește un tunel sosește ca pachete IP obișnuite adresate gazdei bazei de date. Orice dispozitiv de prevenire a intruziunilor de pe acea cale le evaluează conform propriei politici, motiv pentru care o conexiune care a traversat o legătură criptată poate fi încă eliminată de o regulă scrisă pentru rețeaua internă.
TLS de la un capăt la altul este limita acelei vizibilități. Când clientul verifică certificatul serverului bazei de date, dispozitivul de inspecție procesează conexiunea dar nu poate citi încărcătura aplicației, așa că o detectare acolo corespunde metadatelor, nu textului interogării. Omiteți acest detaliu și fiecare conexiune blocată va părea dovadă de inspecție profundă. Ambele fapte contează: dispozitivul nu este orb și nici nu citește totul.
O detectare nu este implicit un fals pozitiv
Semnătura există pentru a prinde un tipar, iar traficul de afaceri așteptat poate parcurge în continuare o cale de cod cu adevărat vulnerabilă. Potriviți mai întâi evenimentul înregistrat cu operația aplicației: marcă temporală, sursă și destinație interne, porturi, identificatorul semnăturii și acțiunea întreprinsă. Acele șase câmpuri vă spun și dacă alerta aparține conexiunii eșuate sau unui vecin care se întâmpla să fie ocupat.
Faptul că câteva pachete ajung la server nu identifică IPS-ul drept cauză, iar o semnătură potrivită nu dovedește că clientul este legitim. Ambele lecturi sunt presupuneri până când evenimentul este corelat cu raportul clientului însuși. Evenimentul corelat este dovada, iar versiunea bazei de date face parte din judecată.
Trei domenii de excepție și ce elimină fiecare
Opțiunile diferă prin câtă inspecție dezactivează, iar diferența este mai mare decât sugerează interfața setării. Suprimarea semnăturii elimină o regulă pentru traficul căruia îi corespunde. Excluderea sursei elimină inspecția a tot ce vine de la acea adresă. Dezactivarea unei categorii elimină o familie de reguli, uneori în întreaga politică.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Preferați primul rând ori de câte ori produsul îl poate exprima. Când nu poate, escaladați limitarea în loc să prezentați o excepție largă ca fiind precisă; persoana care o aprobă ar trebui să vadă diferența în scris.
Domeniul pe care credeți că l-ați stabilit
Traducerea schimbă ce acoperă o excepție. Când mai mulți clienți VPN apar în spatele unei adrese traduse, excluderea acelei adrese îi scutește pe toți, ceea ce este mult mai larg decât singura constatare care a început investigația.
Verificați domeniul efectiv, nu formularul pe care l-ați completat, și notați identificatorul incidentului lângă regulă. O excepție fără motiv devine politică permanentă, iar următorul revizor nu are cum să știe dacă se mai aplică.
Retestați operația și limita
Repetați aceeași operație inofensivă asupra bazei de date și confirmați că conexiunea se finalizează, apoi confirmați că detectările nelegate încă se declanșează într-un test care ar trebui să le provoace. Restabilirea conectivității este un criteriu de acceptare; păstrarea limitei dorite este celălalt.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Notați ce a fost exceptat, de ce și când să revizuiți după următoarea actualizare de semnături sau upgrade al aplicației. O suprimare recitită conform unui calendar este o decizie de inginerie; una pe care nimeni nu o ține minte este o extindere lentă a limitei de încredere.