IPS zablokoval databázu cez VPN: vymedzte rozsah výnimky
VPN nevyňa vnútornú prevádzku databázy z kontroly. Pred výberom porovnajte potlačenie podpisu, vylúčenie zdroja a vypnutie kategórie.
Pripojenia k databáze vnútri VPN stále blokuje IPS, protokol udalostí uvádza príčinu a najrýchlejšia oprava vyzerá ako výnimka. Najprv si všimnite, čo tunel skutočne mení. Chráni prevádzku medzi svojimi koncovými bodmi a potom odovzdáva bežné vnútorné pakety tomu, čo kontroluje vnútro siete, čo je presne miesto, kde sa podpis spustil. Tunel nie je výnimka a detekcia nie je automaticky chybná.
Dekapsulácia je miesto, kde kontrola pokračuje
Prevádzka opúšťajúca tunel prichádza ako bežné IP pakety adresované hostiteľovi databázy. Akékoľvek zariadenie na prevenciu prienikov na tej ceste ich vyhodnocuje podľa svojej vlastnej politiky, a preto spojenie, ktoré prešlo šifrovaným spojom, môže byť stále zahodené pravidlom napísaným pre vnútornú sieť.
TLS od konca po koniec je limitom tejto viditeľnosti. Keď klient overí certifikát databázového servera, kontrolné zariadenie spojenie spracuje, ale nemôže prečítať obsah aplikácie, takže detekcia tam zodpovedá metadátam, nie textu dotazu. Ak tento detail vynecháte, každé zablokované spojenie bude vyzerať ako dôkaz hĺbkovej kontroly. Na oboch faktoch záleží: zariadenie nie je slepé a tiež nečíta všetko.
Detekcia nie je v predvolenom nastavení falošne pozitívna
Podpis existuje, aby zachytil vzor, a očakávaná obchodná prevádzka môže stále prejsť skutočne zraniteľnou cestou kódu. Najprv priraďte zaznamenanú udalosť k operácii aplikácie: časová pečiatka, vnútorný zdroj a cieľ, porty, identifikátor podpisu a vykonaná akcia. Týchto šesť polí vám tiež povie, či výstraha patrí neúspešnému spojeniu, alebo susedovi, ktorý bol náhodou zaneprázdnený.
Niekoľko paketov, ktoré dorazia na server, neurčuje IPS ako príčinu a zodpovedajúci podpis nedokazuje, že klient je legitímny. Obe čítania sú dohady, kým sa udalosť neskoreluje s vlastnou správou klienta. Korelovaná udalosť je dôkaz a verzia databázy je súčasťou úsudku.
Tri rozsahy výnimky a čo každý odstraňuje
Možnosti sa líšia v tom, koľko kontroly vypnú, a rozdiel je väčší, než naznačuje rozhranie nastavenia. Potlačenie podpisu odstráni jedno pravidlo pre prevádzku, ktorej zodpovedá. Vylúčenie zdroja odstráni kontrolu všetkého z tejto adresy. Vypnutie kategórie odstráni rodinu pravidiel, niekedy v celej politike.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Uprednostnite prvý riadok, kedykoľvek to produkt dokáže vyjadriť. Keď to nedokáže, eskalujte obmedzenie namiesto toho, aby ste širokú výnimku vydávali za presnú; ten, kto ju schvaľuje, by mal rozdiel vidieť písomne.
Rozsah, o ktorom si myslíte, že ste nastavili
Preklad mení, čo výnimka pokrýva. Keď sa za jednou preloženou adresou objaví niekoľko klientov VPN, vylúčenie tejto adresy ich vyjme všetkých, čo je oveľa širšie než jediný nález, ktorý vyšetrovanie spustil.
Skontrolujte efektívny rozsah, nie formulár, ktorý ste vyplnili, a zapíšte identifikátor incidentu vedľa pravidla. Výnimka bez dôvodu sa stáva trvalou politikou a ďalší recenzent nemá ako zistiť, či stále platí.
Znova otestujte operáciu aj hranicu
Zopakujte tú istú neškodnú databázovú operáciu a potvrďte, že spojenie sa dokončí, potom potvrďte, že nesúvisiace detekcie stále zasahujú v teste, ktorý ich má vyvolať. Obnovenie konektivity je jedno kritérium prijatia; zachovanie zamýšľanej hranice je druhé.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Zapíšte, čo bolo vyňaté, prečo a kedy to po ďalšej aktualizácii podpisov alebo upgradu aplikácie znova prejsť. Potlačenie, ktoré sa pravidelne číta znova, je inžinierske rozhodnutie; také, na ktoré si nikto nespomenie, je pomalé rozširovanie hranice dôvery.