Bir VPN kuralı tek bir dosyanın yüklenmesini neden durduramaz
Bir hizmete erişmek ve ondan hangi dosyaların çıktığını denetlemek iki ayrı gereksinimdir. Kuralı dosyanın göründüğü yere koyun: e-posta, uygulama veya uç nokta aracısı.
Küçük bir ekip çalışma sistemlerine uzaktan erişim ister ve aynı nefeste belirli eklerin şirketten çıkmasının durmasını ister. İki istek de tek bir VPN değişikliği gibi görünür. Oysa bunlar farklı uygulama noktaları olan iki gereksinimdir ve ilkini karşılayan kural ikincisi için hiçbir şey yapmaz. Önce eylemi ve veriyi adlandırın, sonra bunları gerçekten görebilen bileşeni seçin.
Tek istek, iki gereksinim
İlk gereksinim erişilebilirlikle ilgilidir: hangi kullanıcılar ve cihazlar hangi hizmete bağlantı açabilir. İkincisi, o bağlantı kurulduktan sonraki davranışla ilgilidir: hangi belgeler eklenebilir, yapıştırılabilir veya yüklenebilir. Tünel birincisine etki eder ve tasarımı gereği ikincisine kördür.
IP düzeyindeki bir denetim paketleri iletir. Çok parçalı bir yüklemeyi ayrıştırmaz, bir PDF'i incelemez ve bir elektronik tabloda hesap numarası olup olmadığına karar vermez. Bunu ondan beklemek yapılandırma hatası değildir; kategori hatasıdır.
Ürün aramaya başlamadan önce gereksinimi bu biçimde yüksek sesle söyleyin. «Kullanıcılar dosya portalına erişebilir» ve «kullanıcılar müşteri listelerini dosya portalına yükleyemez» farklı cümlelerdir ve yalnızca ikincisi bir içerik ilkesini tanımlar.
Dosyayı görebilen bileşeni seçin
Uygulama, dosyanın okunabildiği yerde gerçekleşmelidir. E-posta için bu genellikle ekleri zaten işleyen ve teslimattan önce değerlendirebilen posta platformu veya ağ geçididir. Onaylanmış bir hizmete tarayıcıdan yüklemede, içeriği gören tek taraf uygulamanın kendisi olabilir. Yönetilen bir dizüstü bilgisayar dosyaları çıkarılabilir ortama kopyaladığında, uç nokta aracısı işlemi görür.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Bazı ticari uzaktan erişim paketleri bir uç nokta aracısını, bir web denetimini ve bir veri kaybı önleme modülünü bir arada sunar. Bu bileşenler içerik ilkesini pekâlâ uygulayabilir, ancak yetenek tünelden çok modüle aittir. Sonucu vaat etmeden önce paketin gerçekte ne içerdiğini okuyun.
Karşılaştırma için yararlı bir model Purview'un veri kaybı önleme genel bakışı Microsoft'a aittir: ilkeleri hassas bilgi türleri, konumlar ve etkinlikler açısından açıklar. Bu sözlük içerik ve eylemlerle ilgilidir, IP önekleriyle değil.
TLS tünelden sağ çıkar, bu yüzden bunu planlayın
Uygulama şifrelemesi istemci ile hizmet arasında görüşülür ve bir VPN tüneli bu baytları açmadan taşır. Bu nedenle yoldaki bir ağ geçidi, rotanın ne kadarını elinde tutarsa tutsun, bir eki sınıflandırma yeteneğini otomatik olarak kazanmaz.
İçeriği aktarım sırasında incelemek için TLS'i güvenilir bir sertifikayla sonlandıran bir bileşene ihtiyacınız var ve bu, kendi gizlilik ve işletim sonuçları olan önemli bir mimari karardır. VPN profilindeki bir onay kutusu değildir. İstemciler inceleme sertifikasına güvenmek zorundadır, sertifikaları sabitleyen uygulamalar bozulur ve operatör daha önce okuyamadığı trafiği okuma yeteneği kazanır. Bu kararın tüneli işleten kişiye değil güvenlik sahibine ait olmasının nedenleri bunlardır.
Bu yüzden «VPN bu yüklemeyi engelleyebilir mi» sorusuna dürüst yanıt genellikle hayırdır ve ardından somut bir alternatif gelir. Alternatif uygulama düzeyinde kısıtlamalar, bir posta kuralı veya bir uç nokta ilkesi olabilir ve her birinin onu değiştirebilecek bir sahibi vardır.
Kuraldan önce kabul testini yazın
Bir içerik kuralı iki örnek gerektirir, bir değil: çalışmaya devam etmesi gereken izinli bir eylem ve durdurulması gereken yasak bir eylem. İkisini de kapsamdaki uygulamalardan ve cihazlardan test edin, çünkü yalnızca bir tarayıcıda çalışan bir ilke kimsenin istediği ilke değildir.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadİlk isteği kuralın sahibi olan bileşen reddetmeli, ikincisi başarılı olmalıdır. İkisi de başarılı olursa denetim yolda değildir. İkisi de başarısız olursa hizmeti korumak yerine bozmuşsunuzdur; izinli bir örnek olmadan yazılan bir kuralın daha yaygın sonucu budur.
Kullanıcının ne gördüğüne, kimin istisna verebileceğine ve yöneticinin kararı sonradan nerede onaylayacağına önceden karar verin. Mesajsız engellenen bir yükleme bir destek talebi üretir ve kimsenin denetleyemediği bir kural bir tartışma üretir. İkisi de ilke yürürlüğe girmeden önce yazılmış tek cümlelik bir belgeyle önlenebilir.
Son olarak, iki gereksinimi ayrı sahiplere sahip ayrı kayıtlarda tutun. Bunları «VPN» altında toplamak, ağ ekibinden bir içerik sorununu çözmesinin isteneceğini ve tünel açıldığında içerik sorununun çözüldüğünün ilan edileceğini garanti eder.