Zašto VPN pravilo ne može zaustaviti prenos jednog fajla
Dostizanje servisa i kontrola toga koji fajlovi iz njega izlaze dva su različita zahteva. Stavite pravilo tamo gde je fajl vidljiv: pošta, aplikacija ili agent na krajnjoj tački.
Mali tim traži udaljeni pristup svojim radnim sistemima i u istom dahu traži da određeni prilozi prestanu da napuštaju firmu. Oba zahteva zvuče kao jedna VPN izmena. To su dva zahteva sa različitim tačkama primene, a pravilo koje zadovoljava prvi ne čini ništa za drugi. Počnite imenovanjem radnje i podataka, pa izaberite komponentu koja ih zaista može videti.
Jedan zahtev, dva uslova
Prvi zahtev tiče se dostupnosti: koji korisnici i uređaji smeju da otvore vezu ka kom servisu. Drugi se tiče ponašanja nakon što ta veza postoji: koji dokumenti smeju da se prilože, nalepe ili prenesu. Tunel deluje na prvi i po dizajnu je slep za drugi.
Kontrola na nivou IP-a prosleđuje pakete. Ona ne analizira prenos u više delova, ne pregleda PDF i ne odlučuje da li tabela sadrži brojeve računa. Očekivati to od nje nije greška u konfiguraciji; to je greška u kategoriji.
Izgovorite zahtev naglas u tom obliku pre nego što počnete da tražite proizvod. „Korisnici smeju da dosegnu portal fajlova“ i „korisnici ne smeju da prenose liste kupaca na portal fajlova“ različite su rečenice, i samo druga opisuje politiku sadržaja.
Izaberite komponentu koja vidi fajl
Primena mora da se dogodi tamo gde je fajl čitljiv. Za e-poštu je to obično poštanska platforma ili pristupnik, koji već obrađuje priloge i može da ih oceni pre dostave. Za prenose iz pregledača u odobreni servis sama aplikacija može biti jedina strana koja vidi sadržaj. Za upravljani laptop koji kopira fajlove na prenosive medije, agent na krajnjoj tački vidi tu radnju.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Neki komercijalni paketi za udaljeni pristup objedinjuju agenta na krajnjoj tački, web kontrolu i modul za sprečavanje gubitka podataka. Te komponente mogu da primenjuju politiku sadržaja, ali sposobnost pripada modulu, a ne tuneliranju. Pročitajte šta paket zaista uključuje pre nego što obećate ishod.
Koristan model za poređenje je „pregled sprečavanja gubitka podataka u Purview-u“ kompanije Microsoft: on opisuje politike kroz vrste osetljivih informacija, lokacije i aktivnosti. Taj rečnik govori o sadržaju i radnjama, ne o IP prefiksima.
TLS preživljava tunel, zato to planirajte
Šifrovanje aplikacije se dogovara između klijenta i servisa, a VPN tunel prenosi te bajtove ne otvarajući ih. Pristupnik na putu zato automatski ne dobija mogućnost klasifikovanja priloga, koliko god rute posedovao.
Da biste pregledali sadržaj u prenosu, potrebna vam je komponenta koja prekida TLS sa pouzdanim sertifikatom, a to je ozbiljna arhitektonska odluka sa sopstvenim posledicama po privatnost i rad. To nije kućica u VPN profilu. Klijenti moraju da veruju sertifikatu za pregled, aplikacije koje prikucavaju sertifikate će se pokvariti, a operater dobija mogućnost da čita saobraćaj koji ranije nije mogao. Zato ova odluka pripada vlasniku bezbednosti, a ne onome ko upravlja tunelom.
Zato je iskren odgovor na „može li VPN da blokira ovaj prenos“ obično ne, nakon čega sledi konkretna alternativa. Alternativa može biti ograničenje na nivou aplikacije, poštansko pravilo ili politika krajnje tačke, i svaka ima vlasnika koji može da je promeni.
Napišite prijemni test pre pravila
Pravilo sadržaja traži dva primera, a ne jedan: dozvoljenu radnju koja mora da nastavi da radi i zabranjenu radnju koju treba zaustaviti. Testirajte oboje iz aplikacija i uređaja u obuhvatu, jer politika koja radi samo u jednom pregledaču nije politika koju je bilo ko tražio.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadPrvi zahtev treba da odbije komponenta koja poseduje pravilo, a drugi treba da uspe. Ako oba uspeju, kontrola nije na putu. Ako oba propadnu, pokvarili ste servis umesto da ste ga zaštitili, što je češći ishod pravila napisanog bez dozvoljenog primera.
Odlučite unapred šta korisnik vidi, ko može da da izuzetak i gde administrator naknadno potvrđuje odluku. Blokiran prenos bez poruke stvara tiket podrške, a pravilo koje niko ne može da revidira stvara svađu. Oboje se može izbeći jednom rečenicom dokumentacije napisane pre nego što politika stupi na snagu.
Na kraju, držite dva zahteva u odvojenim tiketima sa odvojenim vlasnicima. Njihovo spajanje pod „VPN“ garantuje da će se od mrežnog tima tražiti da reši problem sadržaja i da će problem sadržaja biti proglašen rešenim kad tunel proradi.