IPS, VPN üzerinden bir veritabanını engelledi: istisnanın kapsamını belirleyin
VPN, iç veritabanı trafiğini denetimden muaf tutmaz. Seçim yapmadan önce imza bastırmayı, kaynak hariç tutmayı ve kategori devre dışı bırakmayı karşılaştırın.
VPN içindeki veritabanı bağlantıları hâlâ IPS tarafından engelleniyor, olay günlüğü nedeni belirtiyor ve en hızlı onarım bir istisna gibi görünüyor. Bundan önce tünelin gerçekte neyi değiştirdiğine dikkat edin. Uç noktaları arasındaki trafiği korur ve ardından sıradan iç paketleri ağın içini denetleyene teslim eder; imzanın tetiklendiği yer tam olarak orasıdır. Tünel bir muafiyet değildir ve algılama otomatik olarak yanlış değildir.
Dekapsülasyon, denetimin yeniden başladığı yerdir
Tünelden çıkan trafik, veritabanı sunucusuna yöneltilmiş sıradan IP paketleri olarak gelir. O yoldaki herhangi bir saldırı önleme cihazı bunları kendi ilkesine göre değerlendirir, bu yüzden şifreli bir bağlantıdan geçmiş bir bağlantı bile iç ağ için yazılmış bir kural tarafından düşürülebilir.
Uçtan uca TLS, bu görünürlüğün sınırıdır. İstemci veritabanı sunucusunun sertifikasını doğruladığında denetim cihazı bağlantıyı işler ama uygulama yükünü okuyamaz, bu yüzden oradaki algılama sorgu metni yerine üst verilerle eşleşir. Bu ayrıntıyı atlarsanız engellenen her bağlantı derin denetimin kanıtı gibi görünür. Her iki gerçek de önemlidir: cihaz kör değildir ve her şeyi de okumaz.
Algılama varsayılan olarak yanlış pozitif değildir
İmza bir deseni yakalamak için vardır ve beklenen iş trafiği hâlâ gerçekten savunmasız bir kod yolundan geçebilir. Önce kaydedilen olayı uygulama işlemiyle eşleştirin: zaman damgası, iç kaynak ve hedef, bağlantı noktaları, imza tanımlayıcısı ve alınan eylem. Bu altı alan, uyarının başarısız bağlantıya mı yoksa tesadüfen meşgul bir komşuya mı ait olduğunu da söyler.
Sunucuya birkaç paketin ulaşması IPS'i neden olarak tanımlamaz ve eşleşen bir imza istemcinin meşru olduğunu kanıtlamaz. Her iki okuma da olay istemcinin kendi raporuyla ilişkilendirilene kadar tahmindir. İlişkilendirilmiş olay kanıttır ve veritabanı sürümü yargının parçasıdır.
Üç istisna kapsamı ve her birinin kaldırdığı şey
Seçenekler ne kadar denetimi kapattıklarına göre farklıdır ve fark, ayarın arayüzünün ima ettiğinden daha büyüktür. İmza bastırma, eşleştiği trafik için bir kuralı kaldırır. Kaynak hariç tutma, o adresten gelen her şeyin denetimini kaldırır. Kategori devre dışı bırakma, bazen tüm ilkede bir kural ailesini kaldırır.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Ürün ifade edebildiğinde her zaman ilk satırı tercih edin. Edemezse, geniş bir istisnayı kesinmiş gibi sunmak yerine sınırlamayı üst makama taşıyın; onaylayan kişi farkı yazılı olarak görmelidir.
Belirlediğinizi düşündüğünüz kapsam
Çeviri, istisnanın neyi kapsadığını değiştirir. Birkaç VPN istemcisi tek bir çevrilmiş adresin arkasında göründüğünde, o adresi hariç tutmak hepsini muaf tutar; bu, soruşturmayı başlatan tek bulgudan çok daha geniştir.
Doldurduğunuz formu değil, gerçek kapsamı denetleyin ve kuralın yanına olay tanımlayıcısını kaydedin. Gerekçesiz bir istisna kalıcı ilke olur ve bir sonraki gözden geçiren kişi hâlâ geçerli olup olmadığını bilemez.
İşlemi ve sınırı yeniden test edin
Aynı zararsız veritabanı işlemini yineleyin ve bağlantının tamamlandığını doğrulayın, ardından ilgisiz algılamaların bunları tetiklemesi gereken bir testte hâlâ çalıştığını doğrulayın. Bağlantının geri gelmesi bir kabul ölçütüdür; amaçlanan sınırı korumak diğeridir.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Neyin muaf tutulduğunu, nedenini ve bir sonraki imza güncellemesinden veya uygulama yükseltmesinden sonra ne zaman yeniden bakılacağını yazın. Bir programa göre yeniden okunan bastırma mühendislik kararıdır; kimsenin hatırlamadığı ise güven sınırının yavaş genişlemesidir.