Zakaj pravilo VPN ne more ustaviti nalaganja ene datoteke
Doseganje storitve in nadzor nad tem, katere datoteke iz nje odhajajo, sta dve zahtevi. Pravilo postavite tja, kjer je datoteka vidna: pošta, aplikacija ali agent na končni točki.
Majhna ekipa prosi za oddaljeni dostop do svojih delovnih sistemov in v isti sapi prosi, da nekatere priloge prenehajo zapuščati podjetje. Obe zahtevi zvenita kot ena sprememba VPN. To sta dve zahtevi z različnimi točkami izvajanja, in pravilo, ki zadovolji prvo, ne naredi ničesar za drugo. Začnite z imenovanjem dejanja in podatkov, nato izberite komponento, ki jih res lahko vidi.
Ena zahteva, dva pogoja
Prva zahteva se nanaša na dosegljivost: kateri uporabniki in naprave lahko odprejo povezavo do katere storitve. Druga se nanaša na vedenje po tem, ko ta povezava obstaja: kateri dokumenti se lahko priložijo, prilepijo ali naložijo. Tunel deluje na prvo in je po zasnovi slep za drugo.
Nadzor na ravni IP posreduje pakete. Ne razčlenjuje večdelnega nalaganja, ne pregleduje PDF in ne odloča, ali preglednica vsebuje številke računov. Pričakovati to od njega ni napaka v konfiguraciji; to je napaka kategorije.
Izgovorite zahtevo na glas v tej obliki, preden začnete iskati izdelek. „Uporabniki lahko dosežejo portal datotek“ in „uporabniki ne morejo nalagati seznamov strank na portal datotek“ sta različna stavka in samo drugi opisuje politiko vsebine.
Izberite komponento, ki vidi datoteko
Izvajanje se mora zgoditi tam, kjer je datoteka berljiva. Pri e-pošti je to običajno poštna platforma ali prehod, ki že obravnava priloge in jih lahko oceni pred dostavo. Pri nalaganju iz brskalnika v odobreno storitev je lahko sama aplikacija edina stran, ki vidi vsebino. Pri upravljanem prenosniku, ki kopira datoteke na odstranljive medije, operacijo vidi agent na končni točki.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Nekateri komercialni paketi za oddaljeni dostop združujejo agenta na končni točki, spletni nadzor in modul za preprečevanje uhajanja podatkov. Te komponente lahko uveljavljajo politiko vsebine, vendar sposobnost pripada modulu in ne tuneliranju. Preberite, kaj paket dejansko vsebuje, preden obljubite rezultat.
Koristen model za primerjavo je pregled preprečevanja uhajanja podatkov v Purviewu podjetja Microsoft: opisuje politike v smislu vrst občutljivih informacij, lokacij in dejavnosti. To besedišče govori o vsebini in dejanjih, ne o predponah IP.
TLS preživi tunel, zato to načrtujte
Šifriranje aplikacije se dogovarja med odjemalcem in storitvijo, tunel VPN pa te bajte prenaša, ne da bi jih odprl. Prehod na poti zato samodejno ne pridobi sposobnosti razvrščanja priloge, ne glede na to, kolikšen del poti ima.
Za pregledovanje vsebine med prenosom potrebujete komponento, ki zaključi TLS z zaupanja vrednim potrdilom, in to je pomembna arhitekturna odločitev z lastnimi posledicami za zasebnost in delovanje. To ni kljukica v profilu VPN. Odjemalci morajo zaupati pregledovalnemu potrdilu, aplikacije, ki pripenjajo potrdila, se bodo zlomile, upravljavec pa pridobi možnost branja prometa, ki ga prej ni mogel brati. To so razlogi, da ta odločitev pripada lastniku varnosti in ne tistemu, ki upravlja tunel.
Zato je pošten odgovor na „lahko VPN blokira to nalaganje“ običajno ne, čemur sledi konkretna alternativa. Alternativa so lahko omejitve na ravni aplikacije, poštno pravilo ali politika končne točke, in vsaka ima lastnika, ki jo lahko spremeni.
Napišite sprejemni test pred pravilom
Pravilo vsebine potrebuje dva primera, ne enega: dovoljeno dejanje, ki mora še naprej delovati, in prepovedano dejanje, ki ga je treba ustaviti. Preizkusite oba iz aplikacij in naprav v obsegu, ker politika, ki deluje samo v enem brskalniku, ni politika, ki jo je kdo zahteval.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadPrvo zahtevo naj zavrne komponenta, ki ima pravilo, druga pa naj uspe. Če uspeta obe, nadzor ni na poti. Če spodletita obe, ste storitev pokvarili, namesto da bi jo zaščitili, kar je pogostejši izid pravila, napisanega brez dovoljenega primera.
Vnaprej odločite, kaj uporabnik vidi, kdo lahko odobri izjemo in kje skrbnik pozneje potrdi odločitev. Blokirano nalaganje brez sporočila ustvari zahtevek za podporo, pravilo, ki ga nihče ne more revidirati, pa ustvari spor. Obojemu se je mogoče izogniti z enim stavkom dokumentacije, napisanim pred začetkom veljavnosti politike.
Na koncu imejte obe zahtevi v ločenih zahtevkih z ločenimi lastniki. Njuna združitev pod „VPN“ zagotavlja, da bo mrežna ekipa pozvana rešiti problem vsebine in da bo problem vsebine razglašen za rešen, ko se tunel dvigne.