Hinarang ng IPS ang isang database sa VPN: itakda ang saklaw ng eksepsiyon
Hindi inilalabas ng VPN ang panloob na trapiko ng database mula sa inspeksyon. Ihambing ang pagsugpo ng pirma, pagbubukod ng pinagmulan at pag-disable ng kategorya bago ka pumili.
Hinaharangan pa rin ng IPS ang mga koneksyon sa database sa loob ng VPN, tinutukoy ng log ng kaganapan ang dahilan, at ang pinakamabilis na pag-aayos ay mukhang eksepsiyon. Bago iyon, pansinin kung ano talaga ang binabago ng tunnel. Pinoprotektahan nito ang trapiko sa pagitan ng mga dulo nito at pagkatapos ay ibinibigay ang mga ordinaryong panloob na packet sa kung ano ang sumusuri sa loob ng network, na siyang eksaktong lugar kung saan nag-trigger ang pirma. Ang tunnel ay hindi eksepsiyon, at ang pagtuklas ay hindi awtomatikong mali.
Ang decapsulation ang lugar kung saan nagpapatuloy ang inspeksyon
Dumarating ang trapikong umaalis sa tunnel bilang ordinaryong IP packet na nakadirekta sa host ng database. Sinusuri ito ng anumang aparato ng pagpigil sa panghihimasok sa rutang iyon ayon sa sarili nitong patakaran, kaya ang koneksiyong tumawid sa isang naka-encrypt na link ay maaari pa ring itapon ng isang tuntuning isinulat para sa panloob na network.
Ang end-to-end TLS ang hangganan ng visibility na iyon. Kapag bini-verify ng client ang certificate ng database server, pinoproseso ng aparato ng inspeksiyon ang koneksiyon ngunit hindi mabasa ang payload ng application, kaya ang pagtuklas doon ay tumutugma sa metadata sa halip na teksto ng query. Kung laktawan ang detalyeng iyon, ang bawat hinarang na koneksiyon ay magmumukhang patunay ng malalim na inspeksiyon. Pareho ang mahalaga: hindi bulag ang aparato, at hindi rin nito binabasa ang lahat.
Ang pagtuklas ay hindi false positive bilang default
Umiiral ang pirma upang mahuli ang isang pattern, at ang inaasahang trapikong pangkalakal ay maaari pa ring dumaan sa tunay na mahinang code path. Itugma muna ang naitalang kaganapan sa operasyon ng application: timestamp, panloob na pinagmulan at destinasyon, port, identifier ng pirma at ang aksiyong ginawa. Sinasabi rin ng anim na field na iyon kung ang alerto ay para sa koneksiyong nabigo o sa kapitbahay na nagkataong abala.
Ang pagdating ng ilang packet sa server ay hindi tumutukoy sa IPS bilang dahilan, at ang tumutugmang pirma ay hindi nagpapatunay na lehitimo ang client. Pareho silang haka-haka hanggang maiugnay ang kaganapan sa sariling ulat ng client. Ang iniugnay na kaganapan ang ebidensiya, at ang bersyon ng database ay bahagi ng paghusga.
Tatlong saklaw ng eksepsiyon at kung ano ang inaalis ng bawat isa
Nagkakaiba ang mga opsiyon sa dami ng inspeksiyong pinapatay nila, at mas malaki ang pagkakaiba kaysa sa ipinahihiwatig ng interface ng setting. Inaalis ng pagsugpo ng pirma ang isang tuntunin para sa trapikong tugma nito. Inaalis ng pagbubukod ng pinagmulan ang inspeksiyon ng lahat mula sa address na iyon. Inaalis ng pag-disable ng kategorya ang isang pamilya ng tuntunin, kung minsan sa buong patakaran.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Piliin ang unang hilera sa tuwing maipapahayag ito ng produkto. Kapag hindi kaya, i-escalate ang limitasyon sa halip na ipakita ang malawak na eksepsiyon bilang tumpak; dapat makita ng nag-aapruba ang pagkakaiba sa sulat.
Ang saklaw na inaakala mong itinakda mo
Binabago ng pagsasalin kung ano ang sakop ng eksepsiyon. Kapag maraming client ng VPN ang lumitaw sa likod ng isang isinaling address, ang pagbubukod sa address na iyon ay naglalabas sa kanilang lahat, na mas malawak kaysa sa nag-iisang natuklasan na nagpasimula ng imbestigasyon.
Suriin ang epektibong saklaw sa halip na ang form na pinunan mo, at itala ang identifier ng insidente sa tabi ng tuntunin. Ang eksepsiyong walang dahilan ay nagiging permanenteng patakaran, at ang susunod na tagasuri ay walang paraan upang malaman kung ito ay naaangkop pa.
Subukan muli ang operasyon at ang hangganan
Ulitin ang parehong hindi nakakapinsalang operasyon sa database at kumpirmahin na natatapos ang koneksiyon, pagkatapos ay kumpirmahin na ang mga hindi kaugnay na pagtuklas ay nag-trigger pa rin sa isang pagsubok na dapat mag-trigger sa kanila. Ang pagpapanumbalik ng konektibidad ay isang pamantayan ng pagtanggap; ang pagpapanatili ng nilalayong hangganan ang isa pa.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Itala kung ano ang ineksepsiyon, bakit, at kailan ito babalikan pagkatapos ng susunod na update ng pirma o upgrade ng application. Ang pagsugpo na muling binabasa ayon sa iskedyul ay desisyon sa inhinyeriya; ang wala nang nakakaalala ay mabagal na pagpapalawak ng hangganan ng tiwala.