IPS je blokiral bazo podatkov prek VPN: določite obseg izjeme
VPN ne oprošča notranjega prometa baze podatkov od pregledovanja. Preden izberete, primerjajte zatiranje podpisa, izključitev vira in onemogočenje kategorije.
Povezave do baze podatkov znotraj VPN še vedno blokira IPS, dnevnik dogodkov navaja vzrok, in najhitrejša poprava je videti kot izjema. Pred tem opazite, kaj tunel v resnici spremeni. Ščiti promet med svojima koncema in nato običajne notranje pakete preda tistemu, kar pregleduje notranjost omrežja, kar je natanko tam, kjer se je podpis sprožil. Tunel ni oprostitev in zaznava ni samodejno napačna.
Dekapsulacija je mesto, kjer se pregledovanje nadaljuje
Promet, ki zapusti tunel, prispe kot običajni paketi IP, naslovljeni na gostitelja baze podatkov. Vsaka naprava za preprečevanje vdorov na tej poti jih oceni po svoji politiki, zato je povezava, ki je prečkala šifrirano povezavo, lahko še vedno zavrnjena s pravilom, napisanim za notranje omrežje.
TLS od konca do konca je meja te vidnosti. Ko odjemalec preveri potrdilo strežnika baze podatkov, naprava za pregledovanje povezavo obdela, ne more pa prebrati vsebine aplikacije, zato zaznava tam ustreza metapodatkom, ne besedilu poizvedbe. Če to podrobnost prezrete, bo vsaka blokirana povezava videti kot dokaz globokega pregledovanja. Obe dejstvi štejeta: naprava ni slepa in tudi ne bere vsega.
Zaznava privzeto ni lažno pozitivna
Podpis obstaja, da ujame vzorec, in pričakovani poslovni promet lahko še vedno preide resnično ranljivo pot kode. Najprej povežite zabeleženi dogodek z operacijo aplikacije: časovni žig, notranji vir in cilj, vrata, identifikator podpisa in izvedeni ukrep. Teh šest polj vam pove tudi, ali opozorilo pripada neuspešni povezavi ali sosedu, ki je bil slučajno zaseden.
Prihod nekaj paketov na strežnik ne opredeli IPS kot vzroka, in ujemajoči se podpis ne dokazuje, da je odjemalec zakonit. Oba branja sta ugibanji, dokler dogodek ni koreliran s poročilom odjemalca samega. Korelirani dogodek je dokaz, različica baze podatkov pa je del presoje.
Trije obsegi izjeme in kaj vsak odstrani
Možnosti se razlikujejo po tem, koliko pregledovanja izklopijo, in razlika je večja, kot nakazuje vmesnik nastavitve. Zatiranje podpisa odstrani eno pravilo za promet, ki mu ustreza. Izključitev vira odstrani pregledovanje vsega z naslova. Onemogočenje kategorije odstrani družino pravil, včasih v celotni politiki.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Prednost dajte prvi vrstici, kadar koli lahko izdelek to izrazi. Ko ne more, eskalirajte omejitev, namesto da bi široko izjemo predstavili kot natančno; oseba, ki jo odobri, bi morala razliko videti pisno.
Obseg, za katerega menite, da ste ga nastavili
Prevajanje spremeni, kaj izjema pokriva. Ko se za enim prevedenim naslovom pojavi več odjemalcev VPN, jih izključitev tega naslova oprosti vse, kar je veliko širše od posamezne ugotovitve, ki je začela preiskavo.
Preverite dejanski obseg, ne obrazca, ki ste ga izpolnili, in ob pravilo zapišite identifikator incidenta. Izjema brez razloga postane trajna politika in naslednji pregledovalec ne more vedeti, ali še velja.
Znova preizkusite operacijo in mejo
Ponovite isto neškodljivo operacijo z bazo podatkov in potrdite, da se povezava zaključi, nato potrdite, da nepovezane zaznave še vedno sprožijo v preizkusu, ki naj bi jih sprožil. Obnovitev povezljivosti je eno merilo sprejetja; ohranitev predvidene meje je drugo.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Zapišite, kaj je bilo izvzeto, zakaj in kdaj to pregledati po naslednji posodobitvi podpisov ali nadgradnji aplikacije. Zatiranje, ki se redno bere znova, je inženirska odločitev; tisto, ki se ga nihče ne spomni, je počasno širjenje meje zaupanja.