IPS je blokirao bazu podataka preko VPN-a: odredite obim izuzetka
VPN ne oslobađa unutrašnji saobraćaj baze podataka od inspekcije. Uporedite potiskivanje potpisa, isključivanje izvora i onemogućavanje kategorije prije nego što odaberete.
Veze s bazom podataka unutar VPN-a i dalje blokira IPS, dnevnik događaja navodi uzrok, a najbrži popravak izgleda kao izuzetak. Prije toga obratite pažnju šta tunel zapravo mijenja. On štiti saobraćaj između svojih krajnjih tačaka, a zatim predaje obične unutrašnje pakete onome što pregleda unutrašnjost mreže, a to je upravo mjesto gdje se potpis aktivirao. Tunel nije izuzetak i detekcija nije automatski pogrešna.
Dekapsulacija je mjesto gdje se inspekcija nastavlja
Saobraćaj koji napušta tunel stiže kao obični IP paketi adresirani na host baze podataka. Svaki uređaj za sprečavanje upada na tom putu ih procjenjuje prema vlastitoj politici, zbog čega veza koja je prešla šifrovanu vezu i dalje može biti odbačena pravilom napisanim za unutrašnju mrežu.
TLS od kraja do kraja je granica te vidljivosti. Kada klijent provjeri certifikat servera baze podataka, uređaj za inspekciju obrađuje vezu ali ne može čitati sadržaj aplikacije, pa detekcija tamo odgovara metapodacima, a ne tekstu upita. Zanemarite taj detalj i svaka blokirana veza izgledaće kao dokaz dubinske inspekcije. Obje činjenice su važne: uređaj nije slijep, a i ne čita sve.
Detekcija nije lažno pozitivna po defaultu
Potpis postoji da uhvati obrazac, a očekivani poslovni saobraćaj i dalje može proći kroz zaista ranjiv put koda. Prvo uskladite zabilježeni događaj s operacijom aplikacije: vremenska oznaka, unutrašnji izvor i odredište, portovi, identifikator potpisa i preduzeta radnja. Tih šest polja takođe vam kaže pripada li upozorenje vezi koja nije uspjela ili susjedu koji je slučajno bio zauzet.
Nekoliko paketa koji stignu do servera ne identifikuje IPS kao uzrok, a odgovarajući potpis ne dokazuje da je klijent legitiman. Oba čitanja su nagađanja dok se događaj ne poveže s klijentovim vlastitim izvještajem. Povezani događaj je dokaz, a verzija baze podataka dio je procjene.
Tri obima izuzetka i šta svaki uklanja
Opcije se razlikuju po tome koliko inspekcije isključuju, a razlika je veća nego što sugeriše interfejs postavke. Potiskivanje potpisa uklanja jedno pravilo za saobraćaj koji mu odgovara. Isključivanje izvora uklanja inspekciju svega s te adrese. Onemogućavanje kategorije uklanja porodicu pravila, ponekad kroz cijelu politiku.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Preferirajte prvi red kad god proizvod to može izraziti. Kada ne može, eskalirajte ograničenje umjesto da široki izuzetak predstavljate kao precizan; osoba koja ga odobrava treba da vidi razliku napisanu.
Obim za koji mislite da ste postavili
Prevođenje mijenja šta izuzetak pokriva. Kada se nekoliko VPN klijenata pojavi iza jedne prevedene adrese, isključivanje te adrese oslobađa sve njih, što je mnogo šire od jednog nalaza koji je pokrenuo istragu.
Provjerite efektivni obim, a ne obrazac koji ste popunili, i zapišite identifikator incidenta pored pravila. Izuzetak bez razloga postaje trajna politika, a sljedeći recenzent nema način da zna da li se još primjenjuje.
Ponovo testirajte operaciju i granicu
Ponovite istu bezopasnu operaciju s bazom podataka i potvrdite da se veza završava, zatim potvrdite da se nepovezane detekcije i dalje aktiviraju u testu koji bi ih trebao pokrenuti. Vraćanje povezanosti je jedan kriterij prihvatanja; zadržavanje predviđene granice je drugi.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Zapišite šta je izuzeto, zašto i kada to ponovo pregledati nakon sljedeće nadogradnje potpisa ili aplikacije. Potiskivanje koje se redovno ponovo čita je inženjerska odluka; ono kojeg se niko ne sjeća je sporo širenje granice povjerenja.