Чому правило VPN не може зупинити завантаження одного файлу
Досяжність сервісу й контроль того, які файли з нього виходять, — це дві різні вимоги. Розмістіть правило там, де файл видно: пошта, застосунок або агент кінцевої точки.
Невелика команда просить віддалений доступ до своїх робочих систем і тим самим подихом просить, щоб певні вкладення перестали залишати компанію. Обидва запити звучать як одна зміна VPN. Але це дві вимоги з різними точками застосування, і правило, що задовольняє першу, нічого не робить для другої. Почніть із назви дії та даних, а потім виберіть компонент, який справді може їх бачити.
Один запит, дві вимоги
Перша вимога стосується досяжності: які користувачі та пристрої можуть відкрити з'єднання з яким сервісом. Друга стосується поведінки після того, як це з'єднання існує: які документи можна прикріпити, вставити або завантажити. Тунель діє на першу і за задумом сліпий до другої.
Контроль на рівні IP пересилає пакети. Він не розбирає багаточастинне завантаження, не перевіряє PDF і не вирішує, чи є в таблиці номери рахунків. Очікувати від нього цього — не помилка конфігурації; це помилка категорії.
Промовте вимогу вголос у такій формі, перш ніж шукати продукт. «Користувачі можуть досягати файлового порталу» і «користувачі не можуть завантажувати списки клієнтів на файловий портал» — різні речення, і лише друге описує політику вмісту.
Виберіть компонент, який бачить файл
Застосування має відбуватися там, де файл читабельний. Для електронної пошти це зазвичай поштова платформа або шлюз, які вже обробляють вкладення і можуть оцінити їх до доставки. Для завантажень із браузера до схваленого сервісу сам застосунок може бути єдиною стороною, що бачить вміст. Для керованого ноутбука, який копіює файли на знімні носії, операцію бачить агент кінцевої точки.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Деякі комерційні пакети віддаленого доступу об'єднують агента кінцевої точки, вебконтроль і модуль запобігання витоку даних. Ці компоненти цілком можуть застосовувати політику вмісту, але здатність належить модулю, а не тунелюванню. Прочитайте, що пакет насправді містить, перш ніж обіцяти результат.
Корисна модель для порівняння — огляд запобігання витоку даних у Purview від Microsoft: він описує політики в термінах типів конфіденційної інформації, розташувань і дій. Цей словник про вміст і дії, а не про префікси IP.
TLS переживає тунель, тож плануйте це
Шифрування застосунку узгоджується між клієнтом і сервісом, а тунель VPN передає ці байти, не відкриваючи їх. Тому шлюз на шляху не отримує автоматично здатності класифікувати вкладення, хоч би яку частину маршруту він контролював.
Щоб перевіряти вміст у дорозі, потрібен компонент, який завершує TLS довіреним сертифікатом, а це серйозне архітектурне рішення з власними наслідками для приватності та експлуатації. Це не галочка в профілі VPN. Клієнти мають довіряти сертифікату перевірки, застосунки, що закріплюють сертифікати, зламаються, а оператор отримує можливість читати трафік, який раніше читати не міг. Саме тому це рішення належить власнику безпеки, а не тому, хто обслуговує тунель.
Тому чесна відповідь на «чи може VPN заблокувати це завантаження» зазвичай ні, а далі йде конкретна альтернатива. Альтернативою можуть бути обмеження на рівні застосунку, поштове правило або політика кінцевої точки, і кожна має власника, який може її змінити.
Напишіть приймальний тест до правила
Правилу вмісту потрібні два приклади, а не один: дозволена дія, яка має продовжувати працювати, і заборонена дія, яку треба зупинити. Перевірте обидві із застосунків і пристроїв в області дії, бо політика, що працює лише в одному браузері, — це не та політика, яку хтось просив.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadПерший запит має відхилити компонент, якому належить правило, а другий має успішно пройти. Якщо успішні обидва, контролю на шляху немає. Якщо обидва зазнають невдачі, ви зламали сервіс замість того, щоб його захистити, і це частіший результат правила, написаного без дозволеного прикладу.
Заздалегідь вирішіть, що бачить користувач, хто може надати виняток і де адміністратор згодом підтверджує рішення. Заблоковане завантаження без повідомлення породжує звернення до підтримки, а правило, яке ніхто не може перевірити, породжує суперечку. І того, і того можна уникнути однією фразою документації, написаною до набуття чинності політики.
Нарешті, тримайте дві вимоги в окремих заявках з окремими власниками. Об'єднання їх під «VPN» гарантує, що мережеву команду попросять розв'язати проблему вмісту, а проблему вмісту буде оголошено вирішеною, коли тунель підніметься.