IPS је блокирао базу података преко VPN-а: одредите обим изузетка
VPN не ослобађа унутрашњи саобраћај базе података од инспекције. Упоредите потискивање потписа, искључивање извора и онемогућавање категорије пре него што изаберете.
Веза са базом података унутар VPN-а и даље бива блокирана од стране IPS-а, дневник догађаја наводи узрок, а најбржи поправак изгледа као изузетак. Пре тога, обратите пажњу шта тунел заиста мења. Он штити саобраћај између својих крајева, а затим предаје обичне унутрашње пакете ономе што прегледа унутрашњост мреже, што је тачно место где се потпис активирао. Тунел није изузеће, и откривање није аутоматски погрешно.
Декапсулација је место где се преглед наставља
Саобраћај који напушта тунел стиже као обични IP пакети адресирани на домаћина базе података. Сваки уређај за спречавање упада на том путу их процењује према сопственој политици, због чега веза која је прешла шифровану везу и даље може бити одбачена правилом написаним за унутрашњу мрежу.
TLS од краја до краја је граница те видљивости. Када клијент провери сертификат сервера базе података, уређај за преглед обрађује везу али не може да прочита садржај апликације, па откривање тамо одговара метаподацима, а не тексту упита. Ако прескочите тај детаљ, свака блокирана веза ће изгледати као доказ дубоког прегледа. Обе чињенице су важне: уређај није слеп, и такође не чита све.
Откривање по правилу није лажно позитивно
Потпис постоји да ухвати образац, а очекивани пословни саобраћај и даље може проћи кроз заиста рањив пут кода. Прво ускладите забележени догађај са операцијом апликације: временска ознака, унутрашњи извор и одредиште, портови, идентификатор потписа и предузета радња. Тих шест поља вам такође кажу да ли упозорење припада вези која није успела или суседу који је случајно био заузет.
Долазак неколико пакета на сервер не идентификује IPS као узрок, а одговарајући потпис не доказује да је клијент легитиман. Обе интерпретације су нагађања док се догађај не повеже са извештајем самог клијента. Повезани догађај је доказ, а верзија базе података је део процене.
Три обима изузетка и шта сваки уклања
Опције се разликују по томе колико прегледа искључују, а разлика је већа него што сугерише интерфејс подешавања. Потискивање потписа уклања једно правило за саобраћај који му одговара. Искључивање извора уклања преглед свега са те адресе. Онемогућавање категорије уклања породицу правила, понекад у целој политици.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Претпоставите први ред кад год производ може то да изрази. Када не може, ескалирајте ограничење уместо да широк изузетак представите као прецизан; особа која га одобрава треба да види разлику писмено.
Обим за који мислите да сте поставили
Превод мења шта изузетак покрива. Када се неколико VPN клијената појави иза једне преведене адресе, искључивање те адресе ослобађа их све, што је много шире од појединачног налаза који је покренуо истрагу.
Проверите ефективни обим, а не образац који сте попунили, и запишите идентификатор инцидента поред правила. Изузетак без разлога постаје трајна политика, а следећи рецензент нема начина да зна да ли још важи.
Поново тестирајте операцију и границу
Поновите исту безазлену операцију са базом података и потврдите да се веза завршава, затим потврдите да се неповезана откривања и даље активирају у тесту који би требало да их изазове. Враћање повезаности је један критеријум прихватања; очување предвиђене границе је други.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Запишите шта је изузето, зашто и када то поново прегледати после следећег ажурирања потписа или надоградње апликације. Потискивање које се редовно поново чита је инжењерска одлука; оно које нико не памти је споро ширење границе поверења.