IPS blockerade en databas över VPN: avgränsa undantaget
Ett VPN undantar inte den interna databastrafiken från inspektion. Jämför undertryckning av signatur, uteslutning av källa och inaktivering av kategori innan du väljer.
Databasanslutningar inuti ett VPN blockeras fortfarande av IPS:en, händelseloggen anger orsaken, och den snabbaste reparationen ser ut som ett undantag. Innan dess, notera vad tunneln faktiskt ändrar. Den skyddar trafik mellan sina ändpunkter och lämnar sedan vanliga inre paket till det som inspekterar nätets insida, vilket är exakt där signaturen utlöstes. Tunneln är inte ett undantag, och detekteringen är inte automatiskt fel.
Dekapsulering är där inspektionen återupptas
Trafik som lämnar en tunnel anländer som vanliga IP-paket adresserade till databasvärden. Varje enhet för intrångsförebyggande på den vägen utvärderar dem enligt sin egen policy, och därför kan en anslutning som korsat en krypterad länk fortfarande släppas av en regel skriven för det inre nätet.
End-to-end-TLS är gränsen för den synligheten. När klienten verifierar databasserverns certifikat behandlar inspektionsenheten anslutningen men kan inte läsa applikationsnyttolasten, så en detektering där matchar metadata snarare än frågetext. Hoppa över den detaljen och varje blockerad anslutning ser ut som bevis på djup inspektion. Båda fakta spelar roll: enheten är inte blind, och den läser inte heller allt.
En detektering är inte en falsk positiv som standard
Signaturen finns för att fånga ett mönster, och förväntad verksamhetstrafik kan fortfarande gå genom en verkligt sårbar kodväg. Matcha först den registrerade händelsen mot applikationsoperationen: tidsstämpel, inre källa och destination, portar, signaturidentifierare och den vidtagna åtgärden. De sex fälten berättar också om larmet hör till anslutningen som misslyckades eller till en granne som råkade vara upptagen.
Att några paket når servern identifierar inte IPS:en som orsak, och en matchande signatur bevisar inte att klienten är legitim. Båda läsningarna är gissningar tills händelsen korreleras med klientens egen rapport. Den korrelerade händelsen är beviset, och databasversionen är en del av bedömningen.
Tre undantagsomfång och vad varje tar bort
Alternativen skiljer sig i hur mycket inspektion de stänger av, och skillnaden är större än inställningens gränssnitt antyder. Undertryckning av en signatur tar bort en regel för trafiken den matchar. Uteslutning av en källa tar bort inspektion av allt från den adressen. Inaktivering av en kategori tar bort en familj av regler, ibland i hela policyn.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Föredra den första raden när produkten kan uttrycka den. När den inte kan, eskalera begränsningen i stället för att presentera ett brett undantag som ett exakt; personen som godkänner det bör se skillnaden skriftligt.
Det omfång du tror att du har satt
Översättning ändrar vad ett undantag täcker. När flera VPN-klienter dyker upp bakom en översatt adress, undantar uteslutningen av den adressen dem alla, vilket är mycket bredare än det enda fynd som startade utredningen.
Kontrollera det effektiva omfånget i stället för formuläret du fyllde i, och notera incidentidentifieraren bredvid regeln. Ett undantag utan anledning blir permanent policy, och nästa granskare har inget sätt att veta om det fortfarande gäller.
Testa operationen och gränsen igen
Upprepa samma ofarliga databasoperation och bekräfta att anslutningen slutförs, bekräfta sedan att orelaterade detekteringar fortfarande utlöses i ett test som borde framkalla dem. Att återställa anslutningen är ett acceptanskriterium; att behålla den avsedda gränsen är det andra.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Skriv ner vad som undantogs, varför och när det ska ses över efter nästa signaturuppdatering eller applikationsuppgradering. En undertryckning som läses om enligt ett schema är ett ingenjörsbeslut; en som ingen minns är en långsam utvidgning av förtroendegränsen.