Prečo pravidlo VPN nezastaví nahratie jedného súboru
Dosiahnuteľnosť služby a kontrola toho, ktoré súbory z nej odchádzajú, sú dve požiadavky. Umiestnite pravidlo tam, kde je súbor viditeľný: pošta, aplikácia alebo agent na koncovom bode.
Malý tím žiada vzdialený prístup k svojim pracovným systémom a v tom istom dychu žiada, aby určité prílohy prestali opúšťať firmu. Obe žiadosti znejú ako jedna zmena VPN. Sú to dve požiadavky s rôznymi miestami presadenia a pravidlo, ktoré splní prvú, nerobí pre druhú nič. Začnite pomenovaním akcie a dát a potom vyberte komponent, ktorý ich skutočne vidí.
Jedna žiadosť, dve požiadavky
Prvá požiadavka sa týka dostupnosti: ktorí používatelia a zariadenia smú otvoriť spojenie ku ktorej službe. Druhá sa týka správania po vzniku tohto spojenia: ktoré dokumenty smú byť priložené, vložené alebo nahraté. Tunel pôsobí na prvú a je voči druhej zámerne slepý.
Kontrola na úrovni IP presmerúva pakety. Neanalyzuje viacčasťové nahratie, neprehliada PDF a nerozhoduje, či tabuľka obsahuje čísla účtov. Očakávať to od nej nie je chyba konfigurácie; je to chyba kategórie.
Vyslovte požiadavku nahlas v tomto tvare, skôr než začnete zháňať produkt. „Používatelia smú dosiahnuť súborový portál“ a „používatelia nesmú nahrávať zoznamy zákazníkov na súborový portál“ sú rôzne vety a iba druhá opisuje politiku obsahu.
Vyberte komponent, ktorý súbor vidí
Presadzovanie sa musí diať tam, kde je súbor čitateľný. Pri e-maile to býva poštová platforma alebo brána, ktorá už spracúva prílohy a môže ich vyhodnotiť pred doručením. Pri nahrávaní z prehliadača do schválenej služby môže byť samotná aplikácia jedinou stranou, ktorá obsah vidí. Pri spravovanom notebooku, ktorý kopíruje súbory na prenosné médiá, operáciu vidí agent na koncovom bode.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Niektoré komerčné balíky vzdialeného prístupu spájajú agenta na koncovom bode, webovú kontrolu a modul prevencie úniku dát. Tieto komponenty môžu politiku obsahu presadzovať, ale schopnosť patrí modulu, nie tunelovaniu. Prečítajte si, čo balík skutočne obsahuje, skôr než sľúbite výsledok.
Užitočným modelom na porovnanie je prehľad prevencie úniku dát v Purview od Microsoftu: opisuje politiky pomocou typov citlivých informácií, umiestnení a aktivít. Tá slovná zásoba sa týka obsahu a akcií, nie IP prefixov.
TLS tunel prežije, preto s tým počítajte
Šifrovanie aplikácie sa dohaduje medzi klientom a službou a tunel VPN prenáša tie bajty bez toho, aby ich otváral. Brána na ceste preto automaticky nezíska schopnosť klasifikovať prílohu, nech vlastní akúkoľvek časť trasy.
Na prehliadanie obsahu pri prenose potrebujete komponent, ktorý ukončí TLS dôveryhodným certifikátom, a to je podstatné architektonické rozhodnutie s vlastnými dôsledkami na súkromie a prevádzku. Nie je to zaškrtávacie políčko v profile VPN. Klienti musia dôverovať kontrolnému certifikátu, aplikácie, ktoré pripínajú certifikáty, sa rozbijú a operátor získa možnosť čítať prevádzku, ktorú predtým čítať nemohol. To sú dôvody, prečo toto rozhodnutie patrí vlastníkovi bezpečnosti, a nie tomu, kto prevádzkuje tunel.
Preto je úprimná odpoveď na otázku „môže VPN zablokovať toto nahratie“ zvyčajne nie, po čom nasleduje konkrétna alternatíva. Alternatívou môžu byť obmedzenia na úrovni aplikácie, poštové pravidlo alebo politika koncového bodu a každá z nich má vlastníka, ktorý ju môže zmeniť.
Napíšte akceptačný test pred pravidlom
Pravidlo obsahu potrebuje dva príklady, nie jeden: povolenú akciu, ktorá musí ďalej fungovať, a zakázanú akciu, ktorá musí byť zastavená. Otestujte obe z aplikácií a zariadení v rozsahu, pretože politika, ktorá funguje len v jednom prehliadači, nie je politika, ktorú niekto chcel.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadPrvú žiadosť by mala odmietnuť komponenta, ktorá pravidlo vlastní, a druhá by mala uspieť. Ak uspejú obe, kontrola nie je na ceste. Ak zlyhajú obe, rozbili ste službu namiesto toho, aby ste ju chránili, čo je častejší výsledok pravidla napísaného bez povoleného príkladu.
Vopred rozhodnite, čo používateľ vidí, kto môže udeliť výnimku a kde administrátor rozhodnutie neskôr potvrdí. Blokované nahratie bez správy vytvára tiket podpory a pravidlo, ktoré nikto nemôže auditovať, vytvára hádku. Obom sa dá vyhnúť jednou vetou dokumentácie napísanou pred spustením politiky.
Nakoniec držte obe požiadavky v samostatných tiketoch so samostatnými vlastníkmi. Ich spojenie pod „VPN“ zaručí, že sieťový tím bude požiadaný vyriešiť problém obsahu a že problém obsahu bude vyhlásený za vyriešený, keď tunel nabehne.