Bir iş VPN geçidinin nerede olduğunuz hakkında görebilecekleri

Bir iş VPN’ine bağlandıktan sonra bir web sitesinin gördüğü adres, bağlandığınızda iş geçidinin gördüğü adres değildir. Geçit, dizüstü bilgisayarınız hangi ağdaysa oradan gelen bir tüneli kabul eder ve bu kaynak, herhangi bir tünelli trafik oluşmadan önce onun için görünürdür. Tarayıcının sonradan kurumsal bir çıkış bildirmesi önceki gözlemi silmez, çünkü ikisi farklı şeylerin gözlemleridir. Hangisinin hangisi olduğunu anlamak, bir işverenin neyi çıkarabileceği ve neyi çıkaramayacağı tartışmasının büyük bölümünü çözer.

İki adres, iki farklı gözlem

Mekanizma bir sokettir, bir politika değil. İstemciniz tüneli açtığında, paketleri yerel bir adresten geçidin genel adresine gönderir ve geçidin çekirdeği bu akışın kaynağını kaydeder. Bu kaynak, sağlayıcınızın o anda bağlantıya atadığı ağ uç noktasıdır.

Bir ev yönlendiricisinin arkasında kaynak, NAT sonrası yönlendiricinin genel adresidir. Bir mobil ağda, aynı anda birçok başka aboneye paylaştırılan operatör düzeyinde bir NAT adresi olabilir; bu yüzden birbiriyle ilgisi olmayan iki kişi aynı yerden geliyormuş gibi görünebilir. Kurumsal bir misafir ağında o ağın çıkışıdır. Her durumda geçit bir adres, bir port ve bir zaman damgası öğrenir ve adres bir kişiye değil bir ağ operatörüne aittir.

Geçit gerçekte neyi kaydeder

Sonradan neyin yazıldığı, teknik olarak neyin görünür olduğundan ayrı bir sorudur. Geçit bağlantıyı, kimlik doğrulama kimliğini ve atanan tünel adresini kaydedebilir ya da oturum durumunun ötesinde neredeyse hiçbir şey kaydetmeyebilir. Saklama, bir SIEM’e aktarma ve bir hesapla ilişkilendirme dağıtım kararlarıdır ve hiçbiri kaynağın gözlemlenebilir olması gerçeğinden doğmaz.

Görünürlüğü ve saklamayı iki eksen olarak ele alın. Bir hizmet her şeyi görüp hiçbir şey saklamayabilir ya da az görüp hepsini iletebilir.

Pratik sonuç şudur: kurduğunuz istemciden işvereninizin kayıtları hakkında akıl yürütemezsiniz. Hizmetin neyi ve ne kadar süre toplamak üzere yapılandırıldığını sorun ve yanıtın teknik bir garanti değil bir politika belgesi olmasını bekleyin. VPN geçidini yönetilen bir cihazdaki her şeyden ayırmak da değerlidir, çünkü uç nokta yazılımının kendi yetenekleri ve kendi kayıtları vardır. Kişisel bir VPN bir yolu değiştirir; makinede zaten çalışan yazılımın neyi gözlemleyebileceğini değiştirmez.

Bir IP veritabanı ne söyleyebilir, ne söyleyemez

Bir IP coğrafi konum veritabanı bu adresi alır ve alanlar döndürür: ülke, bölge, şehir, posta kodu, enlem ve boylam, satıcının verdiği durumlarda bir doğruluk yarıçapı. Bu alanlar kayıt verilerinden, ağ topolojisinden ve ölçülen gecikmeden türetilen tahminlerdir ve her düzeyde farklı biçimde bozulur. Ülke yanıtı sağlam olabilirken şehir yanıtı bir tahmindir.

MaxMind’ın kendi doğruluk rehberi burada önemli olan ayrım konusunda açıktır: bir VPN sunucusunu konumlandırmak, kullanıcılarını konumlandırmak değildir ve veriler bir hane, bir kişi ya da bir sokak adresi tanımlayamaz. Ürünün sunduğu yerlerde doğruluk yarıçapını ve güven alanlarını okuyun ve eksik veriyi varsayılan değer değil eksik olarak ele alın. Haritadaki bir iğne bir görüntüleme seçimidir, ölçüm değil. Kayıt kayıtları ve ters DNS başka bir kanıt türüdür: whois 203.0.113.5 hangi operatörün tahsisi elinde tuttuğunu, dig +short -x 203.0.113.5 ise operatörün ona ne ad verdiğini söyler ve ikisi de bir kişinin nerede durduğuna dair ifade değildir.

Değiştirilemez kayıtlar

Bu iki yöne de keser, bu yüzden kategorik bir karar için kötü bir temeldir. Onaylanan bölgeyle örtüşen bir tahmin varlığı kanıtlamaz. Uyuşmazlık kendi başına aldatmayı kanıtlamaz.

Tek bir sorguya dayanan bir uzaktan çalışma incelemesi, sorulan sorudan farklı bir soruyu yanıtlar. İhtiyaç duyduğu şey bağlamdır: düzenlemenin hangi konumlara izin verdiği, kişinin ne bildirdiği ve diğer kanıtların uyuşup uyuşmadığı. Bu, teknik girdileri olan bir yönetim sürecidir, teknik bir hüküm değil.

Bir kuruluşun sahip olabileceği diğer kayıtlar bir kaynak adresle değiştirilebilir değildir. Saat dilimi ayarı herkesin değiştirebileceği bir cihaz tercihidir; bir hesap olayı bir oturumun gerçekleştiğini kaydeder, nerede olduğunu değil; uç nokta yazılımından alınan cihaz konumu okuması farklı izinlere ve farklı hata biçimlerine sahip başka bir algılayıcıdır. Her işverenin hepsini topladığını varsaymak, hiçbirinin toplanmadığını varsaymak kadar yanlıştır. Yararlı disiplin, bir şeyi kanıt olarak ele almadan önce kaydı, sahibini ve hata biçimini adlandırmaktır.

Bir iş düzenlemesi için bundan ne çıkar

Kendi düzenlemeleriniz için sorulacak soru, kuruluşun neyi topladığı ve hangi çalışma konumlarına izin verdiğidir. Bunlar işin iki farklı bölümünden iki yanıttır.

Bir kaynak IP görüntüsü, bir yerden çalışma iznini çözemez ve bir yolu değiştirmek düzenlemeyi kararlaştırmanın yerine geçmez. Politika belirsizse üretken adım ağ yolunu optimize etmek değil sormaktır. Teknik etrafından dolaşmalar genellikle tam da gizleme gibi görünen kaydı üretir.

Savunulabilir teknik ifade dardır ve dar tutulmaya değer: geçit gelen bağlantının ağ kaynağını gözlemler, bir coğrafi konum veritabanı bu kaynak için bir konum tahmin edebilir ve bir kişinin fiziksel konumu hakkındaki her iddia ikisinin ötesinde kanıt gerektirir. MaxMind doğruluk rehberi bu tahminlerin neyi desteklediği için referanstır. Bunun ötesindeki her şey teknik kılıkta bir politika sorusudur.