IPS bllokoi një bazë të dhënash përmes VPN: përcaktoni shtrirjen e përjashtimit
Një VPN nuk e përjashton trafikun e brendshëm të bazës së të dhënave nga inspektimi. Krahasoni shtypjen e nënshkrimit, përjashtimin e burimit dhe çaktivizimin e kategorisë përpara se të zgjidhni.
Lidhjet me bazën e të dhënave brenda një VPN ende bllokohen nga IPS, regjistri i ngjarjeve tregon shkakun, dhe rregullimi më i shpejtë duket si një përjashtim. Para kësaj, vini re çfarë ndryshon tuneli në të vërtetë. Ai mbron trafikun midis skajeve të tij dhe më pas ua dorëzon paketat e zakonshme të brendshme asaj që inspekton pjesën e brendshme të rrjetit, që është pikërisht vendi ku u aktivizua nënshkrimi. Tuneli nuk është përjashtim, dhe zbulimi nuk është automatikisht i gabuar.
Dekapsulimi është vendi ku inspektimi rifillon
Trafiku që del nga një tunel mbërrin si paketa IP të zakonshme të adresuara drejt hostit të bazës së të dhënave. Çdo pajisje parandalimi të ndërhyrjeve në atë rrugë i vlerëson ato sipas politikës së vet, prandaj një lidhje që kaloi një lidhje të kriptuar ende mund të hidhet nga një rregull i shkruar për rrjetin e brendshëm.
TLS nga skaji në skaj është kufiri i asaj dukshmërie. Kur klienti verifikon certifikatën e serverit të bazës së të dhënave, pajisja e inspektimit përpunon lidhjen por nuk mund të lexojë ngarkesën e aplikacionit, kështu që një zbulim atje përputhet me metadata dhe jo me tekstin e pyetjes. Injoroni këtë detaj dhe çdo lidhje e bllokuar do të duket si provë e inspektimit të thellë. Të dyja faktet kanë rëndësi: pajisja nuk është e verbër, dhe as nuk lexon gjithçka.
Një zbulim nuk është pozitiv i rremë si parazgjedhje
Nënshkrimi ekziston për të kapur një model, dhe trafiku i pritur i biznesit ende mund të kalojë nëpër një rrugë kodi vërtet të pambrojtur. Fillimisht përputhni ngjarjen e regjistruar me operacionin e aplikacionit: vulë kohore, burim dhe destinacion të brendshëm, porta, identifikuesi i nënshkrimit dhe veprimi i ndërmarrë. Ato gjashtë fusha ju tregojnë gjithashtu nëse alarmi i përket lidhjes që dështoi apo një fqinji që ishte i zënë rastësisht.
Mbërritja e disa paketave në server nuk e identifikon IPS si shkak, dhe një nënshkrim që përputhet nuk provon se klienti është legjitim. Të dyja leximet janë hamendje derisa ngjarja të korrelohet me raportin e vetë klientit. Ngjarja e korreluar është prova, dhe versioni i bazës së të dhënave është pjesë e gjykimit.
Tre shtrirje përjashtimi dhe çfarë heq secila
Opsionet ndryshojnë në atë sa inspektim çaktivizojnë, dhe ndryshimi është më i madh sesa sugjeron ndërfaqja e cilësimit. Shtypja e nënshkrimit heq një rregull për trafikun që përputhet me të. Përjashtimi i burimit heq inspektimin e gjithçkaje që vjen nga ajo adresë. Çaktivizimi i një kategorie heq një familje rregullash, ndonjëherë në të gjithë politikën.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Preferoni rreshtin e parë sa herë që produkti mund ta shprehë. Kur nuk mundet, eskalo kufizimin në vend që të paraqisni një përjashtim të gjerë si të saktë; personi që e miraton duhet ta shohë ndryshimin me shkrim.
Shtrirja që mendoni se keni vendosur
Përkthimi ndryshon atë që mbulon një përjashtim. Kur disa klientë VPN shfaqen pas një adrese të përkthyer, përjashtimi i asaj adrese i liron të gjithë, që është shumë më e gjerë se gjetja e vetme që nisi hetimin.
Kontrolloni shtrirjen efektive dhe jo formularin që plotësuat, dhe shënoni identifikuesin e incidentit pranë rregullit. Një përjashtim pa arsye bëhet politikë e përhershme, dhe shqyrtuesi tjetër nuk ka si ta dijë nëse vazhdon të zbatohet.
Ritestoni operacionin dhe kufirin
Përsëritni të njëjtin operacion të pafajshëm me bazën e të dhënave dhe konfirmoni që lidhja përfundon, pastaj konfirmoni që zbulimet e palidhura ende aktivizohen në një test që duhet t'i provokojë ato. Rikthimi i lidhjes është një kriter pranimi; ruajtja e kufirit të synuar është tjetri.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Shkruani çfarë u përjashtua, pse dhe kur ta rishikoni pas përditësimit të ardhshëm të nënshkrimeve ose përmirësimit të aplikacionit. Një shtypje që rilexohet sipas një plani është vendim inxhinierik; një që askush nuk e mban mend është zgjerim i ngadaltë i kufirit të besimit.