IPS đã chặn một cơ sở dữ liệu qua VPN: xác định phạm vi ngoại lệ
VPN không miễn trừ lưu lượng cơ sở dữ liệu bên trong khỏi kiểm tra. Hãy so sánh việc chặn chữ ký, loại trừ nguồn và tắt danh mục trước khi chọn.
Các kết nối cơ sở dữ liệu bên trong VPN vẫn bị IPS chặn, nhật ký sự kiện nêu nguyên nhân, và cách sửa nhanh nhất trông giống một ngoại lệ. Trước đó, hãy để ý đường hầm thực sự thay đổi điều gì. Nó bảo vệ lưu lượng giữa hai đầu của nó rồi giao các gói bên trong thông thường cho thứ kiểm tra phần bên trong mạng, đúng là nơi chữ ký đã kích hoạt. Đường hầm không phải là miễn trừ, và việc phát hiện không tự động sai.
Giải đóng gói là nơi việc kiểm tra tiếp tục
Lưu lượng rời khỏi đường hầm đến dưới dạng gói IP thông thường hướng tới máy chủ cơ sở dữ liệu. Bất kỳ thiết bị ngăn chặn xâm nhập nào trên đường đó đều đánh giá chúng theo chính sách của mình, vì thế một kết nối đã đi qua liên kết mã hóa vẫn có thể bị một quy tắc viết cho mạng bên trong loại bỏ.
TLS đầu-cuối là giới hạn của khả năng nhìn thấy đó. Khi máy khách xác minh chứng chỉ của máy chủ cơ sở dữ liệu, thiết bị kiểm tra xử lý kết nối nhưng không đọc được tải trọng ứng dụng, nên phát hiện ở đó khớp với siêu dữ liệu chứ không phải văn bản truy vấn. Bỏ qua chi tiết đó và mọi kết nối bị chặn sẽ trông như bằng chứng của kiểm tra sâu. Cả hai sự thật đều quan trọng: thiết bị không mù, và nó cũng không đọc mọi thứ.
Phát hiện không mặc định là dương tính giả
Chữ ký tồn tại để bắt một mẫu, và lưu lượng kinh doanh dự kiến vẫn có thể đi qua một đường mã thực sự dễ bị tổn thương. Trước tiên hãy khớp sự kiện đã ghi với thao tác ứng dụng: dấu thời gian, nguồn và đích bên trong, cổng, mã định danh chữ ký và hành động đã thực hiện. Sáu trường đó cũng cho biết cảnh báo thuộc về kết nối đã thất bại hay thuộc về một láng giềng tình cờ bận.
Vài gói đến được máy chủ không xác định IPS là nguyên nhân, và chữ ký khớp không chứng minh máy khách là hợp pháp. Cả hai cách đọc đều là phỏng đoán cho đến khi sự kiện được tương quan với báo cáo của chính máy khách. Sự kiện đã tương quan là bằng chứng, và phiên bản cơ sở dữ liệu là một phần của phán đoán.
Ba phạm vi ngoại lệ và mỗi phạm vi loại bỏ điều gì
Các lựa chọn khác nhau ở lượng kiểm tra chúng tắt đi, và khác biệt lớn hơn giao diện của thiết lập gợi ý. Chặn chữ ký loại bỏ một quy tắc cho lưu lượng khớp với nó. Loại trừ nguồn loại bỏ việc kiểm tra mọi thứ từ địa chỉ đó. Tắt một danh mục loại bỏ một họ quy tắc, đôi khi trên toàn bộ chính sách.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Hãy ưu tiên hàng đầu tiên mỗi khi sản phẩm có thể diễn đạt điều đó. Khi không thể, hãy chuyển giới hạn lên cấp trên thay vì trình bày một ngoại lệ rộng như thể nó chính xác; người phê duyệt nên thấy sự khác biệt bằng văn bản.
Phạm vi bạn nghĩ rằng mình đã đặt
Bản dịch thay đổi phạm vi một ngoại lệ bao phủ. Khi nhiều máy khách VPN xuất hiện sau một địa chỉ đã dịch, việc loại trừ địa chỉ đó miễn trừ tất cả, rộng hơn nhiều so với phát hiện duy nhất đã khởi động cuộc điều tra.
Kiểm tra phạm vi hiệu lực thay vì biểu mẫu bạn đã điền, và ghi mã sự cố bên cạnh quy tắc. Một ngoại lệ không có lý do sẽ trở thành chính sách vĩnh viễn, và người duyệt tiếp theo không có cách nào biết nó còn áp dụng hay không.
Kiểm tra lại thao tác và ranh giới
Lặp lại thao tác cơ sở dữ liệu vô hại đó và xác nhận kết nối hoàn tất, sau đó xác nhận các phát hiện không liên quan vẫn kích hoạt trong một thử nghiệm đáng lẽ phải kích hoạt chúng. Khôi phục kết nối là một tiêu chí chấp nhận; giữ ranh giới dự kiến là tiêu chí còn lại.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Ghi lại điều gì đã được miễn trừ, vì sao và khi nào xem lại sau lần cập nhật chữ ký hoặc nâng cấp ứng dụng tiếp theo. Một việc chặn được đọc lại theo lịch là quyết định kỹ thuật; việc không ai nhớ là sự mở rộng chậm của ranh giới tin cậy.