Wat 'n VPN-log oor blaai kan bewys en wat nie

Voordat jy 'n logversamelaar kies, besluit watter gebeurtenis die oudit moet vasstel. Om te vra watter VPN-sessie 'n bestemmingsadres gekontak het, is 'n ander vraag as om te vra watter persoon 'n bepaalde bladsy oopgemaak het. Die twee vereis verskillende rekords, verskillende koppelings en verskillende vlakke van vertroue. 'n OpenVPN verbindingslog antwoord die eerste en kan nie die tweede antwoord nie.

Noem die gebeurtenis voordat jy 'n versamelaar kies

'n Sessierekord wys 'n aanvaarde identiteit, 'n begin- en eindtyd en 'n adres wat die bediener volgens sy eie beleid toegeken het. 'n Resolverlog wys dat 'n naam by daardie resolver navraag gedoen is. 'n Vloeirekord wys adresse, poorte, protokol en tyd, en 'n toepassingslog wys die transaksie wat daardie toepassing werklik hanteer het. Nie een van die vier is 'n plaasvervanger vir 'n ander nie.

Elkeen van hulle vestig een gebeurtenis en laat die ander oop. Om die vraag eers neer te skryf, verhoed dat jy 'n verhaal saamstel wat die data nie kan ondersteun nie.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Die eerste opdrag wys sessiegebeurtenisse uit die diensjoernaal. Die tweede druk die huidige kliëntelys met toegekende adresse, wat die koppeling is waarvan 'n oudit afhang. Die derde wys lewende vloeitoestand, wat slegs nuttig is terwyl die verbinding nog bestaan.

'n Naslaan is nie 'n besoek nie

'n Blaaier los name spekulatief op, kas antwoorde en hergebruik dit sonder om die gemonitorde resolver weer te vra. 'n Naam in 'n resolverlog bewys dus 'n naslaan, nie 'n besoek nie. DNS oor HTTPS vergroot daardie gaping, want 'n blaaier wat daarvoor ingestel is, stuur sy vrae na 'n plek waar jou gewone logger dit nooit sien nie.

Bestemmingsadresse is op hul eie nie beter nie. Een adres kan baie onverwante werwe huisves, omgekeerde DNS is 'n raaiskoot eerder as 'n rekonstruksie, en 'n gasheernaam wat tydens 'n TLS-handdruk sigbaar is, is nie die versoekpad binne die versleutelde sessie nie.

Vir presiese transaksies het jy die toepassing se eie gebeurtenisrekords nodig of 'n instaanbediener-ontwerp wat uitdruklik vir logboeke ondersteun word. 'n CONNECT-tonnel gee 'n instaanbediener die bestemming en die volume, nie die bladsypaaie daarbinne nie. Administratiewe toegang tot die netwerk is nie 'n lisensie om die toepassing se vertrouensmodel stilweg te vervang nie.

Koppel identiteit en tyd voordat jy 'n persoon noem

'n Vloeirekord met 'n interne bronadres beteken niks totdat daardie adres op dieselfde tydstip aan 'n sessie gekoppel word nie. Adresse word hergebruik, en dieselfde adres kon 'n uur vroeër aan 'n ander sessie behoort het. Statiese toekenning is een manier om die verband te behou, nie die enigste nie.

Vertaalgrense verswak die koppeling verder. As verskeie toestelle reeds een bronadres gedeel het voordat jou waarnemingspunt begin, is die beste wat jy kan identifiseer die gedeelde poortweg-sessie eerder as 'n enkele toestel. 'n Sertifikaat of rekening wat deur verskeie mense gebruik word, het dieselfde effek.

Teken tydsones, klokbronne, waarnemingspunte en elke vertaalsprong aan. Ontbrekende rekords kan beteken dat 'n vloei-inskrywing uitgetree het, dat 'n sensor omseil is of dat 'n toepassingslog afgeskakel is. Afwesigheid is nie 'n bewys dat niks gebeur het nie.

Definieer dan die minimum velde, die toegelate lesers en die bewaartydperk vir die genoemde doel. Korrelasie en wanattribusie is ontwerpkwessies eerder as nagedagtes, en metadata wat mense identifiseer verdien dieselfde beskerming as die identiteitskoppeling waarvan dit afhang.

Toets die oudit met aktiwiteit wat jy beheer

Genereer toegelate verkeer waarvan jy die sessie en toepassing reeds ken, en kyk dan wat elke rekord werklik vasgelê het. Doen 'n naslaan sonder om die bladsy te laai, laai 'n bladsy uit die kas, en maak 'n verbinding deur 'n instaanbediener oop, en kyk watter gebeurtenisse verskyn.

Rapporteer die gebeurtenis wat die bewyse ondersteun en sê wat dit nie dek nie. 'n Beskeie rekord met 'n verklaarde omvang oorleef die hersiening; 'n ambisieuse geskiedenis van blaaiwerk wat uit raaiskote saamgestel is, oorleef nie.