Vì sao một quy tắc VPN không thể chặn việc tải lên một tệp
Tiếp cận một dịch vụ và kiểm soát những tệp rời khỏi nó là hai yêu cầu. Đặt quy tắc ở nơi tệp hiển thị: thư, ứng dụng hoặc tác nhân điểm cuối.
Một nhóm nhỏ yêu cầu truy cập từ xa vào các hệ thống làm việc và trong cùng hơi thở lại yêu cầu rằng một số tệp đính kèm ngừng rời khỏi công ty. Cả hai yêu cầu nghe như một thay đổi VPN duy nhất. Chúng là hai yêu cầu với các điểm thực thi khác nhau, và một quy tắc đáp ứng yêu cầu thứ nhất không làm gì cho yêu cầu thứ hai. Hãy bắt đầu bằng việc gọi tên hành động và dữ liệu, rồi chọn thành phần thực sự có thể nhìn thấy chúng.
Một yêu cầu, hai điều kiện
Yêu cầu thứ nhất nói về khả năng tiếp cận: người dùng và thiết bị nào được mở kết nối tới dịch vụ nào. Yêu cầu thứ hai nói về hành vi sau khi kết nối đó tồn tại: tài liệu nào được đính kèm, dán hoặc tải lên. Một đường hầm tác động lên yêu cầu thứ nhất và theo thiết kế thì mù trước yêu cầu thứ hai.
Kiểm soát ở tầng IP chuyển tiếp gói tin. Nó không phân tích một lần tải lên nhiều phần, không kiểm tra PDF và không quyết định liệu bảng tính có số tài khoản hay không. Kỳ vọng điều đó ở nó không phải lỗi cấu hình; đó là lỗi phạm trù.
Hãy nói to yêu cầu theo hình thức đó trước khi tìm sản phẩm. «Người dùng được tiếp cận cổng tệp» và «người dùng không được tải danh sách khách hàng lên cổng tệp» là hai câu khác nhau, và chỉ câu thứ hai mô tả một chính sách nội dung.
Chọn thành phần có thể nhìn thấy tệp
Việc thực thi phải diễn ra nơi tệp có thể đọc được. Với thư điện tử, đó thường là nền tảng hoặc cổng thư, nơi đã xử lý tệp đính kèm và có thể đánh giá chúng trước khi gửi. Với việc tải lên từ trình duyệt tới một dịch vụ được phê duyệt, chính ứng dụng có thể là bên duy nhất nhìn thấy nội dung. Với máy tính xách tay được quản lý sao chép tệp sang phương tiện di động, một tác nhân điểm cuối nhìn thấy thao tác đó.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Một số gói truy cập từ xa thương mại kết hợp tác nhân điểm cuối, kiểm soát web và mô-đun ngăn ngừa mất dữ liệu. Những thành phần đó có thể thực thi chính sách nội dung, nhưng năng lực thuộc về mô-đun chứ không phải việc đường hầm hóa. Hãy đọc gói thực sự bao gồm gì trước khi hứa hẹn kết quả.
Một mô hình hữu ích để so sánh là tổng quan về ngăn ngừa mất dữ liệu của Purview của Microsoft: nó mô tả chính sách theo loại thông tin nhạy cảm, vị trí và hoạt động. Từ vựng đó nói về nội dung và hành động, không nói về tiền tố IP.
TLS sống sót qua đường hầm, vì vậy hãy lên kế hoạch cho điều đó
Mã hóa của ứng dụng được thương lượng giữa máy khách và dịch vụ, và đường hầm VPN mang những byte đó mà không mở chúng. Vì vậy một cổng trên đường đi không tự động có được khả năng phân loại tệp đính kèm, dù nó sở hữu bao nhiêu phần của tuyến.
Để kiểm tra nội dung khi đang truyền, bạn cần một thành phần kết thúc TLS bằng chứng chỉ đáng tin cậy, và đó là một quyết định kiến trúc quan trọng với những hệ quả riêng về quyền riêng tư và vận hành. Đó không phải một ô chọn trong hồ sơ VPN. Máy khách phải tin chứng chỉ kiểm tra, các ứng dụng ghim chứng chỉ sẽ hỏng, và nhà vận hành có được khả năng đọc lưu lượng mà trước đó không đọc được. Đó là lý do quyết định này thuộc về chủ sở hữu bảo mật chứ không phải người vận hành đường hầm.
Vì vậy câu trả lời trung thực cho «VPN có thể chặn lần tải lên này không» thường là không, kèm theo một phương án cụ thể. Phương án có thể là các hạn chế ở tầng ứng dụng, một quy tắc thư hoặc một chính sách điểm cuối, và mỗi thứ đều có người sở hữu có thể thay đổi nó.
Hãy viết bài kiểm thử chấp nhận trước quy tắc
Một quy tắc nội dung cần hai ví dụ, không phải một: một hành động được phép phải tiếp tục hoạt động và một hành động bị cấm phải bị dừng. Hãy thử cả hai từ các ứng dụng và thiết bị trong phạm vi, vì một chính sách chỉ hoạt động trong một trình duyệt không phải là chính sách mà ai đó đã yêu cầu.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadYêu cầu thứ nhất nên bị thành phần sở hữu quy tắc từ chối, và yêu cầu thứ hai nên thành công. Nếu cả hai thành công, kiểm soát không nằm trên đường đi. Nếu cả hai thất bại, bạn đã làm hỏng dịch vụ thay vì bảo vệ nó, đó là kết quả phổ biến hơn của một quy tắc được viết mà không có ví dụ được phép.
Hãy quyết định trước người dùng thấy gì, ai có thể cấp ngoại lệ và quản trị viên xác nhận quyết định ở đâu sau đó. Một lần tải lên bị chặn mà không có thông báo tạo ra một phiếu hỗ trợ, và một quy tắc không ai có thể kiểm toán tạo ra một cuộc tranh cãi. Cả hai đều tránh được bằng một câu tài liệu được viết trước khi chính sách có hiệu lực.
Cuối cùng, hãy giữ hai yêu cầu trong hai phiếu riêng với người sở hữu riêng. Gộp chúng dưới «VPN» bảo đảm rằng nhóm mạng sẽ được yêu cầu giải quyết một vấn đề nội dung và rằng vấn đề nội dung sẽ được tuyên bố là đã giải quyết khi đường hầm được dựng lên.