IPS บล็อกฐานข้อมูลผ่าน VPN: กำหนดขอบเขตของข้อยกเว้น
VPN ไม่ได้ยกเว้นทราฟฟิกฐานข้อมูลภายในจากการตรวจสอบ เปรียบเทียบการระงับลายเซ็น การยกเว้นแหล่งที่มา และการปิดใช้งานหมวดหมู่ก่อนเลือก
การเชื่อมต่อฐานข้อมูลภายใน VPN ยังคงถูกบล็อกโดย IPS บันทึกเหตุการณ์ระบุสาเหตุ และการซ่อมแซมที่เร็วที่สุดดูเหมือนข้อยกเว้น ก่อนหน้านั้น สังเกตว่า tunnel เปลี่ยนแปลงอะไรจริง ๆ มันปกป้องทราฟฟิกระหว่างปลายทั้งสองข้าง แล้วส่งแพ็กเก็ตภายในธรรมดาให้กับสิ่งที่ตรวจสอบภายในเครือข่าย ซึ่งเป็นจุดที่ลายเซ็นทำงานพอดี tunnel ไม่ใช่การยกเว้น และการตรวจจับก็ไม่ได้ผิดโดยอัตโนมัติ
การถอดห่อหุ้มคือจุดที่การตรวจสอบกลับมาเริ่มใหม่
ทราฟฟิกที่ออกจาก tunnel มาถึงเป็นแพ็กเก็ต IP ธรรมดาที่ส่งถึงโฮสต์ฐานข้อมูล อุปกรณ์ป้องกันการบุกรุกใด ๆ บนเส้นทางนั้นจะประเมินตามนโยบายของตัวเอง ดังนั้นการเชื่อมต่อที่ผ่านลิงก์เข้ารหัสยังคงถูกทิ้งได้ด้วยกฎที่เขียนสำหรับเครือข่ายภายใน
TLS แบบปลายถึงปลายคือขอบเขตของการมองเห็นนั้น เมื่อไคลเอนต์ตรวจสอบใบรับรองของเซิร์ฟเวอร์ฐานข้อมูล อุปกรณ์ตรวจสอบจะประมวลผลการเชื่อมต่อแต่ไม่สามารถอ่านเพย์โหลดของแอปพลิเคชันได้ ดังนั้นการตรวจจับตรงนั้นจึงตรงกับเมทาดาทาไม่ใช่ข้อความคิวรี ถ้ามองข้ามรายละเอียดนี้ การเชื่อมต่อที่ถูกบล็อกทุกครั้งจะดูเหมือนหลักฐานของการตรวจสอบเชิงลึก ทั้งสองข้อเท็จจริงสำคัญ อุปกรณ์ไม่ได้บอด และก็ไม่ได้อ่านทุกอย่าง
การตรวจจับไม่ใช่ผลบวกลวงโดยค่าเริ่มต้น
ลายเซ็นมีไว้เพื่อจับรูปแบบ และทราฟฟิกธุรกิจที่คาดหมายยังคงใช้เส้นทางโค้ดที่เปราะบางจริงได้ จับคู่เหตุการณ์ที่บันทึกไว้กับการดำเนินการของแอปพลิเคชันก่อน ได้แก่ เวลา แหล่งและปลายทางภายใน พอร์ต ตัวระบุลายเซ็น และการดำเนินการที่ทำ ถ้าหกฟิลด์นั้นยังบอกด้วยว่าการแจ้งเตือนเป็นของการเชื่อมต่อที่ล้มเหลวหรือของเพื่อนบ้านที่บังเอิญไม่ว่าง
การที่แพ็กเก็ตไม่กี่ชิ้นไปถึงเซิร์ฟเวอร์ไม่ได้ชี้ว่า IPS เป็นสาเหตุ และลายเซ็นที่ตรงกันก็ไม่ได้พิสูจน์ว่าไคลเอนต์ชอบด้วยกฎหมาย การตีความทั้งสองเป็นการเดาจนกว่าเหตุการณ์จะถูกเชื่อมโยงกับรายงานของไคลเอนต์เอง เหตุการณ์ที่เชื่อมโยงแล้วคือหลักฐาน และเวอร์ชันฐานข้อมูลเป็นส่วนหนึ่งของการตัดสิน
ขอบเขตข้อยกเว้นสามแบบและสิ่งที่แต่ละแบบขจัดออก
ตัวเลือกแตกต่างกันในปริมาณการตรวจสอบที่ปิดไป และความแตกต่างใหญ่กว่าที่อินเทอร์เฟซของการตั้งค่าแนะนำ การระงับลายเซ็นขจัดกฎหนึ่งข้อสำหรับทราฟฟิกที่ตรงกัน การยกเว้นแหล่งที่มาขจัดการตรวจสอบทุกอย่างจากที่อยู่นั้น การปิดใช้งานหมวดหมู่ขจัดกลุ่มกฎ และบางครั้งทั้งนโยบาย
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
เลือกแถวแรกทุกครั้งที่ผลิตภัณฑ์แสดงออกได้ เมื่อทำไม่ได้ ให้ยกระดับข้อจำกัดขึ้นไปแทนที่จะนำเสนอข้อยกเว้นกว้าง ๆ ว่าเป็นสิ่งที่แม่นยำ ผู้ที่อนุมัติควรเห็นความแตกต่างเป็นลายลักษณ์อักษร
ขอบเขตที่คุณคิดว่าคุณตั้งไว้
การแปลเปลี่ยนสิ่งที่ข้อยกเว้นครอบคลุม เมื่อไคลเอนต์ VPN หลายรายปรากฏอยู่หลังที่อยู่ที่แปลแล้วหนึ่งเดียว การยกเว้นที่อยู่นั้นจะยกเว้นทั้งหมด ซึ่งกว้างกว่าการค้นพบเดียวที่เริ่มการสอบสวนมาก
ตรวจสอบขอบเขตที่มีผลจริงไม่ใช่แบบฟอร์มที่กรอก และบันทึกตัวระบุเหตุการณ์ข้างกฎ ข้อยกเว้นที่ไม่มีเหตุผลจะกลายเป็นนโยบายถาวร และผู้ทบทวนคนถัดไปไม่มีทางรู้ว่ายังใช้ได้อยู่หรือไม่
ทดสอบการดำเนินการและขอบเขตอีกครั้ง
ทำการดำเนินการฐานข้อมูลที่ไม่เป็นอันตรายเดิมซ้ำและยืนยันว่าการเชื่อมต่อสำเร็จ แล้วยืนยันว่าการตรวจจับที่ไม่เกี่ยวข้องยังทำงานในการทดสอบที่ควรกระตุ้นมัน การคืนการเชื่อมต่อเป็นเกณฑ์การยอมรับข้อหนึ่ง และการรักษาขอบเขตที่ตั้งใจไว้เป็นอีกข้อหนึ่ง
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"บันทึกว่ายกเว้นอะไร เพราะอะไร และเมื่อใดควรกลับมาทบทวนหลังการอัปเดตลายเซ็นหรือการอัปเกรดแอปพลิเคชันครั้งถัดไป การระงับที่ถูกอ่านซ้ำตามกำหนดเวลาเป็นการตัดสินใจทางวิศวกรรม ส่วนที่ไม่มีใครจำได้คือการขยายขอบเขตความเชื่อถืออย่างช้า ๆ