VPN jurnalının brauzinq haqqında nəyi sübut edə biləcəyi və bilmədiyi

Jurnal toplayıcısı seçməzdən əvvəl auditin hansı hadisəni müəyyən etməli olduğuna qərar verin. Hansı VPN sessiyasının hədəf ünvana bağlandığını soruşmaq, hansı şəxsin konkret səhifəni açdığını soruşmaqdan fərqli sualdır. İkisi fərqli qeydlər, fərqli birləşmələr və fərqli inam səviyyələri tələb edir. OpenVPN bağlantı jurnalı birincisini cavablandırır və ikincisini cavablandıra bilməz.

Toplayıcı seçməzdən əvvəl hadisəni adlandırın

Sessiya qeydi qəbul edilmiş şəxsiyyəti, başlama və bitmə vaxtını və serverin öz siyasətinə uyğun təyin etdiyi ünvanı göstərir. Həlledici jurnalı həmin həlledicidə bir adın sorğulandığını göstərir. Axın qeydi ünvanları, portları, protokolu və vaxtı, tətbiq jurnalı isə tətbiqin həqiqətən emal etdiyi əməliyyatı göstərir. Bu dördünün heç biri digərinin əvəzi deyil.

Onların hər biri bir hadisəni müəyyən edir və digərlərini açıq qoyur. Sualı əvvəlcə yazmaq sizi məlumatın dəstəkləyə bilmədiyi bir hekayə qurmaqdan saxlayır.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Birinci əmr xidmət jurnalından sessiya hadisələrini göstərir. İkincisi təyin edilmiş ünvanlarla cari müştəri siyahısını çap edir; audit birləşməsi bu xəritələmədən asılıdır. Üçüncüsü canlı axın vəziyyətini göstərir, bu da yalnız bağlantı hələ mövcud olduqda faydalıdır.

Axtarış səfər deyil

Brauzer adları ehtimal əsasında həll edir, cavabları keşləyir və nəzarət olunan həllediciyə yenidən soruşmadan onları təkrar istifadə edir. Buna görə həlledici jurnalındakı ad səfəri deyil, axtarışı sübut edir. HTTPS üzərindən DNS bu boşluğu daha da genişləndirir, çünki bunun üçün konfiqurasiya edilmiş brauzer suallarını adi jurnalınızın heç vaxt görmədiyi yerə göndərir.

Hədəf ünvanları tək başına daha yaxşı deyil. Bir ünvan çoxlu əlaqəsiz sayta ev sahibliyi edə bilər, tərs DNS yenidənqurma deyil, təxmindir və TLS əl sıxması zamanı görünən host adı şifrələnmiş sessiyanın içindəki sorğu yolu deyil.

Dəqiq əməliyyatlar üçün tətbiqin öz hadisə qeydləri və ya açıq şəkildə jurnallaşdırma üçün dəstəklənən proksi dizaynı lazımdır. CONNECT tuneli proksiyə hədəfi və həcmi verir, içindəki səhifə yollarını yox. Şəbəkəyə inzibati giriş tətbiqin inam modelini səssizcə əvəz etmək üçün lisenziya deyil.

Şəxsi adlandırmadan əvvəl şəxsiyyəti və vaxtı birləşdirin

Daxili mənbə ünvanı daşıyan axın qeydi, həmin ünvan eyni vaxtda sessiya ilə birləşdirilməyincə heç nə ifadə etmir. Ünvanlar təkrar istifadə olunur və eyni ünvan bir saat əvvəl başqa sessiyaya aid ola bilərdi. Statik təyinat əlaqəni saxlamağın bir yoludur, yeganə yolu deyil.

Tərcümə sərhədləri birləşməni daha da zəiflədir. Bir neçə cihaz müşahidə nöqtənizdən əvvəl artıq bir mənbə ünvanını paylaşırdısa, müəyyən edə biləcəyiniz ən yaxşı şey tək cihaz deyil, paylaşılan şlüz sessiyasıdır. Bir neçə nəfərin istifadə etdiyi sertifikat və ya hesab eyni təsirə malikdir.

Saat qurşaqlarını, saat mənbələrini, müşahidə nöqtələrini və hər tərcümə addımını qeyd edin. Çatışmayan qeydlər axın yazısının köhnəlməsini, bir sensorun yan keçilməsini və ya tətbiq jurnalının söndürülməsini göstərə bilər. Yoxluq heç nəyin baş vermədiyinə dair sübut deyil.

Sonra minimum sahələri, icazə verilən oxucuları və göstərilən məqsəd üçün saxlama müddətini müəyyən edin. Korrelyasiya və səhv aidetmə sonradan düşünüləcək şeylər deyil, dizayn məsələləridir və insanları müəyyən edən metadatanın ondan asılı olan şəxsiyyət xəritəsi qədər qorunmağa haqqı var.

Auditi nəzarət etdiyiniz fəaliyyətlə sınayın

Sessiyasını və tətbiqini əvvəlcədən bildiyiniz icazəli trafik yaradın, sonra hər qeydin həqiqətən nə tutduğunu yoxlayın. Səhifəni yükləmədən axtarış edin, səhifəni keşdən yükləyin və proksi vasitəsilə bağlantı açın, hansı hadisələrin göründüyünə baxın.

Sübutun dəstəklədiyi hadisəni bildirin və onun nəyi əhatə etmədiyini deyin. Məqsədi göstərilmiş təvazökar qeyd yoxlamadan keçir; təxminlərdən qurulmuş iddialı brauzinq tarixçəsi keçmir.