L'IPS SQL Injection Prevention nel mio firewall è eccessivamente aggressivo?

I sistemi IPS non sono dispositivi plug-and-play, set-and-forget. Devono essere sintonizzati e monitorati costantemente per funzionare efficacemente nel proprio ambiente. Se attivi tutte le regole possibili, otterrai molti falsi positivi come quello che stai vedendo. Quella particolare regola potrebbe avere senso essere abilitata in alcuni ambienti, ma chiaramente non è appropriata nell'ambiente tuo perché c'è un sacco di traffico legittimo che corrisponde a quella regola.

Il solito approccio per la configurazione di un sistema IPS è di metterlo in modalità passiva, monitoraggio in cui non blocca il traffico. Quindi gli avvisi vengono riesaminati manualmente e tutte le regole che continuano a generare falsi positivi vengono disabilitate. Una volta che si è certi che il sistema non interferirà con l'uso legittimo, sarà possibile riattivare il blocco. Regola il tuo IPS per lavorare con il tuo ambiente, non il contrario.

Oltre ai consigli di buona e corretta implementazione di @ tlng05 (regola il tuo IPS per lavorare con il tuo ambiente, non viceversa), inizierei creando un caso esemplificativo solido, dimostrando un uso aziendale valido della parola "OR "e mostra anche i registri IPS che hanno indotto lo strumento a scartare le connessioni. È possibile continuare a cercare i registri in cerca di altri luoghi in cui lo strumento interrompa il traffico aziendale legittimo e la raccolta di più dati. Ma non alzare il campanello d'allarme fino a quando non sei preparato.

Le ragioni sono interamente politiche. Il team che ha installato l'IPS è indubbiamente orgoglioso del suo nuovo e brillante strumento, può vedere che è efficace, e probabilmente lo hanno mostrato ai VP e così via. Inoltre, se si dice "avrebbe dovuto essere installato prima in modalità di reporting, testato in questo modo e regolato le regole prima di essere acceso", si suppone che non abbiano fatto un buon lavoro di installazione. Rischi che il team IPS si difendi e si rifiuta di collaborare. Questo può facilmente esplodere a dismisura, e certamente non vuoi peggiorare le cose. La tua presentazione / rapporto dovrebbe mostrare solo alcuni fatti:

1. L'attività consente legittimamente l'uso di parole come "AND" e "OR" nell'interfaccia di query pubblica.
2. Lo strumento IPS intercettava definitivamente questi messaggi e interrompeva le interrogazioni legittime degli utenti (mostra i registri IPS in cui venivano attivate le regole e forniva qui un numero di client interessati).
3. Stai cercando solo la correzione delle regole specifiche che interferiscono con queste query.
4. (opzionale) Durante il lavoro con i file di registro, è possibile vedere che lo strumento è altrimenti efficace e sta facendo un ottimo lavoro, e ha continuato il merito nell'organizzazione.

Non dire da nessuna parte qui che il team IPS non ha seguito le procedure corrette, o addirittura riconoscere che ci sono procedure ben note per l'installazione di queste cose. Lascia che tutto ciò che ha a che fare con la colpa scivoli via, senza risposta. Infine, lascia che sia il team IPS a prendersi il merito di risolvere il problema.

Sì, potrebbe trattarsi di materiale "Intra-company Politics 101" che già conosci, ma non tutti potrebbero pensare di affrontare un problema come questo con la massima cura possibile.