VPN istifadəçi adı jurnal axınından harada itir?
Jurnal məxfilik nəzarətini dəyişməzdən əvvəl şlüz hadisəsini, kollektorun xam kopyasını, indekslənmiş hadisəni və axtarış vaxtı sahəsini müqayisə edin.
Sessiyalar idarə panelində görünür, istifadəçi adı sütunu isə boş qalır və ilk instinkt təhlilçini günahlandırmaqdır. Bu instinkt dəyərin itirilə biləcəyi üç əvvəlki mərhələni atlayır. Şlüz kimliyi siyasətlə gizlədə bilər, qəbul qaydası onu indeksləşdirmədən əvvəl silə bilər və axtarış vaxtı çıxarışı sadəcə onu adlandıra bilməz. Düzəliş hansı sərhədin məsuliyyətini sübut edə bildiyinizdən asılıdır, ona görə faydalı iş konfiqurasiya deyil, müqayisədir.
İdarə panelindən deyil, bir hadisədən başlayın
Tək bir autentifikasiya hadisəsi seçin və onu nəyin müəyyən etdiyini yazın: şlüz modeli və buraxılışı, autentifikasiya üsulu, hadisə identifikatoru, vaxt damğası və mənbə ünvanı. İstifadəçi adını şəxsin yazdığı kimi, böyük-kiçik hərf fərqi daxil olmaqla əlavə edin, çünki hərfə həssas axtarış mövcud sahəni gizlədə bilər. Həmin hadisəni bütün sonrakı müqayisələr üçün istinad kimi götürün.
Hadisə növləri eyni sxemi paylaşmır. Uğursuz cəhd, müştərisiz uğurlu giriş və tunel yenidən qoşulması hər biri fərqli sahələr yarada bilər və bəzi şlüzlər cəhd istifadəçi autentifikasiyasına çatmadıqda kimliyi buraxır. Buna görə bir hadisə növündə boş sütun axın probleminin zəif sübutudur.
Real işçi hesabı yerinə təsdiqlənmiş test kimliyi ilə işləyin və müqayisəni jurnal məlumatlarına artıq tətbiq olunan giriş qaydaları daxilində saxlayın. Nümunə almaq üçün geniş şəkildə ətraflı autentifikasiya jurnalını aktivləşdirmək ölçməyə çalışdığınız sistemi dəyişir.
Dörd sərhədi sıra ilə müqayisə edin
Dəyər dörd nöqtədən birində itə bilər. Hər nöqtənin fərqli sahibi və fərqli düzəlişi var.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Dəyərin itdiyi ilk sərhəddə dayanın. Cihaz görünüşü ilə xam kopya arasındakı uyğunsuzluq nəqliyyat və ya kollektor konfiqurasiyasına işarə edir; orada uyğunluq, lakin indekslənmiş hadisədə dəyərin olmaması transformasiyaya işarə edir; indekslənmiş hadisədə olan, lakin idarə panelində görünməyən dəyər çıxarışa və ya sorğuya işarə edir.
Bu sıra vacibdir, çünki hər sonrakı mərhələ yalnız məlumat itirə bilər, onu heç vaxt bərpa edə bilməz. Regex əvvəlki mərhələnin yer tutucu ilə əvəz etdiyi sətri geri qaytara bilməz və məxfilik parametri heç vaxt göndərilməmiş dəyəri izah edə bilməz.
Mənbədə gizlətmə siyasətdir, təhlilçi xətası deyil
Cisco-nun ASA jurnal sənədləri istifadəçi adının gizlədilməsini konfiqurasiya edilə bilən davranış kimi təsvir edir, o cümlədən etibarsız və ya naməlum istifadəçi adlarının necə göstərildiyini. Buna görə mənbə hadisəsində gizlədilmiş kimlik məhz məxfilik siyasətinin tələb etdiyi şey ola bilər və ona təhlil xətası kimi yanaşmaq nəzarəti zəiflədən tələbə gətirib çıxarır.
Dəqiq təsvir buraxılışdan və mesaj növündən asılıdır. Bir hadisə yer tutucu daşıya bilər, digəri sahəni tamamilə buraxa bilər və autentifikasiya xətası heç vaxt ad ehtiva etməyə bilər. Köhnə xəta hesabatını hər itkin kimliyə tətbiq etmək yerinə konkret hadisə üçün sənədləşdirilmiş davranışı yoxlayın.
Gizlətmə qəsdən olduqda, sual sahəni necə bərpa etməkdən audit tələbinin başqa yolla ödənilə bilib-bilməməsinə dəyişir. Sessiya identifikatorları, daha kiçik qrupun saxladığı nəzarətli kimlik xəritəsi və ya daha dar icazəli hadisə axını çox vaxt hər cəhdlə edilən istifadəçi adını hər jurnal oxucusunun qarşısına qoymadan ehtiyacı ödəyir.
İndeksləşdirmədən əvvəl anonimləşdirmə geri qaytarıla bilməz
Splunk-un hadisə emalı sənədləri anonimləşdirməni sed ifadələri və məlumatı indeksləşdirmədən əvvəl yenidən yazan və ya silən transformasiyalar vasitəsilə təsvir edir. Bu yerləşmə əsas məqamdır: xam hadisə daxil olarkən dəyişdirilir, ona görə axtarış vaxtı çıxarışının tapacaq bir şeyi qalmır.
İndeks vaxtı redaktəsi və axtarış vaxtı sahə çıxarışı fərqli problemləri həll edir. Redaktə dəyəri kimin görə biləcəyini məhdudlaşdırır; çıxarış yalnız sorğunun hansı addan istifadə etdiyini müəyyən edir. Heşləmə korrelyasiyanı qoruyan ara variantdır, lakin kiçik istifadəçi adı məkanı üzərində sabit heş, kimsə ona qarşı namizəd adları sınaya bildikdə hələ də identifikasiya edir.
Saxlanılan hadisə hələ də kimliyi ehtiva edirsə, problem aşağı axındadır: mənbə növü, sətir bölməsi, ayırıcı emalı, sahə ləqəbləri və ya sorğunun özü. Bunlar adi təhlil düzəlişləridir və məxfilik sərhədinə toxunmur.
Sərhədə uyğun düzəlişi seçin
Cavabı üç şərt müəyyən edir. Birincisi, məxfilik siyasəti kimliyi xaric etmək istəyirmi? İkincisi, audit və ya araşdırma prosesinə kimlik, təxəllüs, yoxsa yalnız sessiya lazımdır? Üçüncüsü, dəyər hansı sərhəddə lazımdır — toplama, saxlama yoxsa təqdimat?
Siyasət xaric etmək istəyirsə, nəzarəti deyil, tələbi və ya təqdimatı dəyişin. Siyasət kimliyə icazə verir, lakin toplama onu itirirsə, kollektoru düzəldin və xam hadisəni təsdiqləyin. Saxlama bütövdürsə, çıxarışı düzəldin və onu başlanğıcda götürdüyünüz təsdiqlənmiş hadisə ilə sınayın.
Araşdırmanı dəyişiklik qeydində sərhədi adlandıraraq bitirin: mənbədə gizlədilib, qəbul zamanı silinib və ya çıxarış tərəfindən buraxılıb. Bu bir cümlə növbəti mühəndisə ilk olaraq hara baxacağını deyir və idarə paneli şikayətinin səssizcə söndürülmüş məxfilik funksiyasına çevrilməsinin qarşısını alır.