Знайсці скінутыя VPN-пакеты, не захоўваючы іх змест

Лічыльнік міжсеткавага экрана павялічваецца, калі пакет адпавядае правілу, і робіць гэта, не захоўваючы пакет. Гэтага дастаткова, каб адказаць на першае пытанне ў большасці расследаванняў скіду: ці паток наогул дасягнуў гэтага правіла. Перахоп карыснай нагрузкі адказвае на іншае пытанне і збірае ўсё астатняе, што перасякае інтэрфейс, пакуль працуе. Пачніце з лічыльніка і пераходзьце да журналізавання метаданых толькі тады, калі лічыльнік неадназначны.

Лічыльнікі адказваюць на першае пытанне

Кожнае правіла, якое можа супасці, мае лічыльнік, і чытанне яго да і пасля тэсту паказвае, ці прыйшоў трафік. Гэта параўнанне двух лікаў, а не архіў, і яно нічога не каштуе ні ў захоўванні, ні ў выкрыцці.

Чытайце лічыльнікі тым інструментам, якому належаць правілы:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Дэльта — гэта доказ. Правіла, лічыльнік якога не рухаецца, ніколі не бачыла патоку, што паказвае на больш раннюю мяжу: няправільны інтэрфейс, няправільная табліца або маршрут, які ніколі не адпраўляў пакет туды. Правіла, лічыльнік якога рухаецца і якое ўсё ж скідвае, кажа, што палітыка робіць тое, для чаго была напісана.

Што лічыльнік не можа сказаць

Лічыльнік дае лік, а не прычыну. Ён не можа адрозніць пакет, што супаў па адрасе, ад пакета, што супаў па порце, і не можа сказаць, якое з двух падобных правілаў злавіла паток. Ён таксама не можа сказаць, ці пакет быў скінуты, адхілены ці прыняты і потым страчаны, калі вы не прачытаеце правіла, якому належыць лічыльнік.

Вось тут і патрэбна журналізаванне метаданых, і абсяг — гэта ўся сутнасць. Запішыце інтэрфейс, кірунак, адрасы, пратакол і вердыкт для пэўнага тэставага патоку. Гэтыя палі знаходзяць збойную мяжу, не запісваючы, што рабіў карыстальнік.

Журналізаванне нагрузкі адказвае на іншае пытанне і адказвае на яго пра ўсіх на інтэрфейсе.

Журналізаванне метаданых з вузкім абсягам

Напішыце правіла, якое адпавядае толькі вашаму тэставаму патоку, дайце яму адметны прэфікс і абмяжуйце хуткасць пад уласнымі сродкамі платформы, каб звычайная паўторная спроба не затапіла сховішча. Менавіта прэфікс дазваляе знайсці вашы запісы сярод усяго іншага, што журналюе прылада.

Пазбягайце ўключэння журналізавання нагрузкі ці неабмежаванага журналізавання пакетаў толькі таму, што такая функцыя ёсць. Урэзаны перахоп таксама не аўтаматычна без нагрузкі, бо памеры загалоўкаў і кампаноўка пакетаў розныя, таму нібыта малы памер здымка ўсё яшчэ можа несці байты праграмы.

Калі трэба перахапіць, перахапіце адзін паток, на абмежаваны час, з найменшым памерам здымка, які адказвае на ваша пытанне.

Супусціце адзін новы запыт

Стварыце бясшкодны трафік, які ідзе па рэальным маршруце кліента, і параўнайце адпаведныя лічыльнікі да і пасля. Лакальны тэст на шлюзе можа цалкам прапусціць правіла перасылкі, бо пакет ніколі не ідзе шляхам перасылкі. Усталяваная сесія таксама можа адпавядаць іншай апрацоўцы стану, чым новае злучэнне, таму доўгі паток не замяняе свежы.

Абмяжуйце акно па часе і запішыце яго. Паміж дзвюма пэўнымі хвілінамі, з гэтага адраса кліента, да гэтага пункта прызначэння па гэтым пратаколе — гэта дыягназ. Неяк сёння раніцай — гэта пошук.

Адзін паток, адно акно, адна мяжа — гэта адзінка прагрэсу тут.

Прыбярыце і пакіньце толькі вытрымку

Выдаліце часовае дыягнастычнае правіла праз уласную канфігурацыю, як толькі расследаванне скончыцца. Вузкае правіла журналізавання, пакінутае на месцы, становіцца непажаданай сістэмай запісу, і праз шэсць месяцаў ніхто не памятае, навошта яно існуе.

Захоўвайце арыгінальныя запісы прыватна, калі гэта патрабуе палітыка, і дзяліцеся прагледжанай мінімальнай вытрымкай, а не ўсім перахопам. Адрасы, ідэнтыфікатары ўліковых запісаў і ўнутраная тапалогія адчувальныя нават тады, калі нагрузкі няма. Стаўцеся да вытрымкі як да дакумента з уласнікам. Выдаляйце ўсё, што дыягназу не патрэбна.

Мэта — пэўная збойная мяжа для пэўнага запыту. Усё, што стварае поўны архіў кожнага, хто карыстаецца VPN, перавысіла дыягназ і пачало іншы праект. Прачытайце дакументацыю платформы пра журналізаванне, каб даведацца, што яна запісвае па змаўчанні, перш чым нешта дадаваць.