IPS заблокував базу даних через VPN: окресліть межі винятку
VPN не звільняє внутрішній трафік бази даних від перевірки. Порівняйте придушення підпису, виключення джерела та вимкнення категорії, перш ніж обирати.
Підключення до бази даних усередині VPN досі блокує IPS, журнал подій називає причину, а найшвидше виправлення виглядає як виняток. Перш ніж це, зверніть увагу, що насправді змінює тунель. Він захищає трафік між своїми кінцями, а потім передає звичайні внутрішні пакети тому, хто перевіряє внутрішню частину мережі, і саме там спрацював підпис. Тунель не є звільненням, і виявлення не обов’язково хибне.
Декапсуляція — це місце, де перевірка відновлюється
Трафік, що виходить із тунелю, надходить як звичайні IP-пакети, адресовані хосту бази даних. Будь-який пристрій запобігання вторгненням на цьому шляху оцінює їх за власною політикою, тому з’єднання, що пройшло зашифрованим каналом, усе ще може бути відкинуте правилом, написаним для внутрішньої мережі.
TLS від краю до краю є межею цієї видимості. Коли клієнт перевіряє сертифікат сервера бази даних, пристрій перевірки обробляє з’єднання, але не може прочитати корисне навантаження застосунку, тому виявлення там відповідає метаданим, а не тексту запиту. Пропустіть цю деталь, і кожне заблоковане з’єднання виглядатиме як доказ глибокої перевірки. Обидва факти важливі: пристрій не сліпий і не читає все.
Виявлення за замовчуванням не є хибним спрацюванням
Підпис існує, щоб ловити шаблон, і очікуваний діловий трафік усе ще може пройти справді вразливим шляхом коду. Спершу зіставте записану подію з операцією застосунку: позначка часу, внутрішнє джерело й призначення, порти, ідентифікатор підпису та вжиті дії. Ці шість полів також скажуть, чи попередження належить з’єднанню, що не вдалося, чи сусідові, який випадково був зайнятий.
Надходження кількох пакетів на сервер не визначає IPS як причину, а збіг підпису не доводить, що клієнт легітимний. Обидва прочитання — здогади, доки подію не буде зіставлено зі звітом самого клієнта. Зіставлена подія є доказом, а версія бази даних — частиною судження.
Три межі винятку та що кожна прибирає
Варіанти різняться тим, скільки перевірки вони вимикають, і різниця більша, ніж підказує інтерфейс налаштування. Придушення підпису прибирає одне правило для трафіку, якому воно відповідає. Виключення джерела прибирає перевірку всього з тієї адреси. Вимкнення категорії прибирає родину правил, іноді в усій політиці.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Надавайте перевагу першому рядку, коли продукт може його виразити. Коли не може, ескалуйте обмеження замість того, щоб подавати широкий виняток як точний; людина, яка його затверджує, має побачити різницю письмово.
Обсяг, який ви, на вашу думку, встановили
Трансляція змінює те, що охоплює виняток. Коли за однією трансльованою адресою з’являються кілька клієнтів VPN, виключення цієї адреси звільняє їх усіх, що значно ширше за єдину знахідку, яка почала розслідування.
Перевіряйте фактичний обсяг, а не форму, яку заповнили, і записуйте ідентифікатор інциденту поруч із правилом. Виняток без причини стає постійною політикою, і наступний рецензент не має способу дізнатися, чи він ще діє.
Повторно перевірте операцію та межу
Повторіть ту саму нешкідливу операцію з базою даних і переконайтеся, що з’єднання завершується, потім переконайтеся, що не пов’язані виявлення все ще спрацьовують у тесті, який має їх викликати. Відновлення зв’язності — один критерій приймання; збереження заданої межі — інший.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Запишіть, що було виключено, чому і коли переглянути це після наступного оновлення підписів або оновлення застосунку. Придушення, яке перечитують за графіком, — інженерне рішення; те, про яке ніхто не пам’ятає, — повільне розширення межі довіри.