VPN jurnalı brauzer tarixçəsini göstərə bilərmi? Sübutlar nəyi təsdiqləyir
Sessiya jurnalı, resolver sorğusu və axın qeydi fərqli şeyləri sübut edir. Əvvəlcə sualı seçin, sonra kimliyi və vaxtı birləşdirin və yalnız göstəriləni deyin.
İki audit sualı oxşar səslənir və fərqli sübut növləri tələb edir. Bu ünvana hansı sessiyanın müraciət etdiyi sualına bağlantı və axın qeydlərindən cavab vermək olar. Bu səhifəni hansı şəxsin açdığı sualına isə adətən yox, ən azı həmin qeydlərdən yox. Sualı seçməzdən əvvəl toplayıcı seçmək — şəbəkə komandasının host adını brauzer tarixçəsi kimi təqdim etməsi belə başlayır.
Auditin təsdiqləməli olduğu hadisə ilə başlayın
Sualı subyekti, feli və vaxtı olan bir cümlə kimi yazın. Təkcə bu nizam sessiya qeydi ilə səhifə baxışı arasındakı fərqi üzə çıxarır. Sessiya jurnalı kimliyin müəyyən interval üçün, qeydə alınmış siyasət əsasında təyin edilmiş ünvanla qəbul edildiyini təsdiqləyir və heç kimin hansı səhifəni oxuduğunu təsdiqləyə bilməz, çünki sorğunu heç vaxt görməyib.
Toplamanı layihələndirməzdən əvvəl müşahidəni adlandırın. Ziyarət edilmiş saytın adını daşıyan, amma əslində həll olunmuş adı saxlayan sahə rahatlıq deyil, gələcək xətadır. Sahə adları onları seçən insanlardan uzun yaşayır, ona görə nəticəni deyil, sübutu təsvir edən adlar seçin.
Hər qeydin nəyi dəstəkləyə bildiyi və bilmədiyi
Demək olar ki, hər audit layihəsində dörd qeyd növü görünür və hər biri fərqli suala cavab verir. Onları həm hesabatda, həm də emal xəttində ayrı saxlayın, çünki onları qarışdırmaq müdafiə oluna bilən nəticəni utandırıcı nəticəyə çevirir.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Sonuncu sütunu orta sütun qədər diqqətlə oxuyun. Axın qeydi ünvanları və portları təsvir edir, ünvanın tərs axtarışı isə brauzerin istifadə etdiyi adı bərpa etmir, çünki bir ünvan çoxlu əlaqəsiz sayta ev sahibliyi edə bilər. Resolver sorğusu sualın verildiyini sübut edir, səhifənin göstərildiyini yox. TLS danışıqları zamanı görünən host adı da şifrələnmiş sorğu yolu deyil.
Bunların hər biri real müşahidədir və heç biri insanların güman etdiyi müşahidə deyil. Öz şifrələnmiş resolverində israrla dayanan brauzer monitorinq əhatəsindən kənarda qalır və analiz jurnalın heç vaxt görmədiyini bərpa edə bilməz. Bu boşluq hesabatda qeyd deyil, elan edilmiş məhdudiyyət kimi yer almalıdır.
Əvvəlcədən sorğular və keşlənmiş cavablar
Brauzerlər adları əvvəlcədən həll edir, bəzən heç nə yükləmədən. Onlar həmçinin izlədiyiniz resolverə təzə sorğu göndərmədən keşdən cavab verir, yəni sorğunun olmaması ziyarətin olmaması demək deyil. Hər iki davranış DNS jurnalı ilə brauzer tarixçəsi arasındakı sadəlövh bərabərliyi pozur.
HTTPS üzərindən DNS ikinci sərhəd əlavə edir: öz resolveri olan brauzer və ya qonaq tətbiq təşkilatın qeyd edicisindən heç nə soruşmur. Dəqiq tranzaksiyalar yalnız tətbiqin öz hadisələrindən və ya jurnalını açıq şəkildə dəstəklədiyiniz proksidən gəlir. Adi HTTPS CONNECT tuneli proksidə içindəki səhifə yollarına heç bir baxış imkanı buraxmır. Şəbəkəyə sahib olmaq tətbiqin etibar modelini səssizcə dəyişmək icazəsi deyil.
Ünvan şəxsə deyil, sessiyaya aiddir
Tunel diapazonundan ünvan daşıyan axın qeydi cavab deyil, başlanğıc nöqtəsidir. Həmin ünvanı və vaxt möhürünü o anda aktiv sessiya təyinatı ilə birləşdirin, çünki bu ünvan bir saat sonra başqa sessiyaya verilə bilər. Statik ünvanlama bu əlaqəni saxlamağın bir yoludur, yeganə yolu deyil.
Tərcümə addımı bir neçə cihazı sensorun yuxarı axınında bir mənbə ünvanına yığdıqda, birləşdirmə yalnız ümumi şlüz sessiyasını adlandıra bilər. Paylaşılan hesab və ya bir neçə nəfərin istifadə etdiyi sertifikat atribusiyanı məhdudlaşdırır, şəbəkə məlumatları nə qədər tam görünsə də. İkisi də hesabatda sonrakı qeydlər kimi deyil, məhdudiyyət kimi yer almalıdır.
Saat qurşağını, saat mənbəyini, müşahidə nöqtəsini və aralarındakı hər tərcümə sərhədini qeyd edin. Olmama, olma qədər diqqətə layiqdir, çünki itkin qeyd axın yazısının vaxtının bitdiyini, sensorun paketi heç vaxt görmədiyini və ya tətbiq jurnalının söndürüldüyünü göstərə bilər.
Elan edilmiş məqsəd üçün dizayn edin, sonra emal xəttini sübut edin
Sual müəyyən edildikdən sonra hansı sahələrin lazım olduğunu, kimin onları oxuya biləcəyini və nə qədər saxlanıldığını müəyyən edin. Saxlama ucuz olduğu üçün daha çox toplamaq, araşdırmadan uzun yaşayan bir öhdəlik yaradır. RFC 6973 sənədindəki məxfilik modeli korrelyasiyanı, yanlış atribusiyanı və lazımsız toplamanı sonradan düşünülən deyil, dizayn problemi kimi çərçivələyir.
Xəritəni və qeydləri bir obyekt kimi qoruyun, çünki hər biri təkbaşına cütlükdən qat-qat az həssasdır. Sonra dizaynı yaratmağa icazəniz olan və artıq anladığınız fəaliyyətə qarşı, hesabatın güvənəcəyi ən kiçik sorğu ilə yoxlayın. Məlum hadisəni təkrar istehsal edə bilməyən emal xətti naməlum hadisəni də təkrar istehsal etməyəcək. Sübutun dəstəklədiyi hadisəni, sübutun icazə verdiyi sözlərlə bildirin və daha böyük nəticəni oxucunun özü çıxarmasına imkan verin.
Məhdudiyyətləri nəticənin yanında yazın: nə birləşdirildi, nə tərcümə olundu və hansı jurnal səssiz qaldı. Öz sərhədlərini bildirən nəticə, inamlı xülasənin tab gətirmədiyi rəyi keçir. Sübutla sübut haqqında hekayə arasındakı fərq budur.