VPN jurnallarının saxlanması: bunu rəqəmə deyil, hadisəyə bağlayın
Saxlama müddəti universal bir son tarixə deyil, hadisəyə, məzmuna və siyasətə uyğun müəyyən edilir. Hər nüsxəni tapın, ətraflı toplamanı dayandırın və qısa qeyd saxlayın.
Heç kim əslində VPN jurnalının nə qədər saxlanacağını soruşmur; jurnalın nə üçün olduğunu soruşurlar və cavab tarixi müəyyən edir. Bir hadisədən fərqli ömürlü iki fayl çıxa bilər və onları tək siyasət kimi qəbul etmək həm artıq saxlama, həm də sübut itkisi yaradır. Səbəb bilinmədiyi vaxt götürülmüş sazlama ixracı monitorinq anbarındakı sətirlə eyni artefakt deyil. Məqsədlə başlayın, sonra tarixi seçin.
Tarix seçməzdən əvvəl dörd suala cavab verin
Dörd sual faylın qalıb-qalmayacağını həll edir: hadisə hələ açıqdırmı, fayl nə ehtiva edir, onu kim oxumalıdır və tətbiq olunan siyasət nə tələb edir. Bu sıra ilə cavab verin və saxlama tarixi özü çıxır. Əsaslandırma cədvələ sığır:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Hadisə açıq olduğu müddətdə qorunan bir orijinal saxlayın ki, sonra hadisələri müqayisə edə və ya dəstək sualına cavab verə biləsiniz, ona yazılı formada sahib və məqsəd təyin edin. Cavab qrupundan kənar hər kəs üçün qısa, təmizlənmiş çıxarış adətən kifayətdir və onu müdafiə etmək tam ixracdan qat-qat asandır. Orijinal və çıxarış ayrı auditoriyalı ayrı artefaktlardır və onları birləşdirmək həm artıq saxlama, həm də sübut itkisi yaradır. Siyasət bir alt hədd qoyur, ona görə əsaslandırmanızdan daha uzun tələb edirsə, siyasət qalib gəlir.
Hadisəni ixracla deyil, qeydlə bağlayın
Bilete dörd sətirlik qeyd yazın: simptom, müştəri və versiya, onu müəyyən edən tək xəta sətri və düzəliş. Başqa heç nə əlavə etməyin, çünki ixrac sizin üçün idi, qeyd isə növbəti şəxs üçündür.
Qeydin oxunma ehtimalı da daha yüksəkdir: tam ixrac əsasən onu götürənə xidmət edir və o şəxs artıq nə baş verdiyini bilir. Qeydi növbəti hadisədə axtarılacaq yerdə saxlayın, bu da adətən tarixlə adlandırılmış qovluq deyil, bilet deməkdir. Qeyd əlaqə identifikatorunu açmadan izlənə bilməlidirsə, iş nömrəsi istinadı daşıya bilər. Əgər sual hələ açıqdırsa, orijinal yuxarıdakı qorunan nüsxə qaydası altında qalır; qeyd yarandıqdan sonra qalan hər şey gedə bilər.
Birini silməzdən əvvəl hər nüsxəni tapın
İxrac qovluğuna, sonra hadisə pəncərəsi üçün jurnala, sonra bilet əlavələrinə, sonra ehtiyat kataloquna, sonra monitorinq anbarına baxın. Eyni əlaqə identifikatoru beşinci yerdə çıxırsa, inventar səhv idi. Jurnal adətən sürpriz olur, çünki siz ixracı oxuyarkən o, toplamağa davam edirdi.
Faylları əl ilə ayırmaq əvəzinə dəstəklənən rotasiya və silmə yolunu istifadə edin. Hələ açıq olan fayl kataloq qeydi yox olduqdan sonra da öz yaddaşını saxlayır, buna görə silinmə tam görünür və heç nə azad etmir. Bu, məxfilik etiketi geyinmiş yaddaş xətasıdır və iki məqsədin heç birini ödəmir.
Silməni yoxlamazdan əvvəl toplamanı dayandırın
Müvəqqəti ətraflı toplamanı onun sahibi olan tətbiq vasitəsilə dayandırın, çıxış faylını redaktə etməklə deyil. Unudulmuş sazlama parametri köhnələr silindikdən sonra da yeni qeydlər yazmağa davam edir və bu, indicə gördüyünüz işi səssizcə ləğv edir. Yadda saxladığınız dəyəri deyil, faktiki jurnal səviyyəsini yoxlayın. Sonra qalanın qorunduğunu və yalnız nəzərdə tutulan şəxslərin onu əldə edə bildiyini təsdiqləyin.
Prinsip məlumatların minimuma endirilməsidir: bəyan edilmiş məqsədin nəyə ehtiyacı varsa, o qədər müddət saxlayın və artıq heç nə saxlamayın, RFC 6973 məxfilik təlimatı bunu belə ifadə edir. Məqsədsiz saxlanan fayl vaxt damğası olan yükdür. Qərar faylı, məqsədini, sahibini və bitmə tarixini adlandıra bildiyiniz zaman tamamlanır.