Выбар сведчанняў HTTP: запісы шлюза або журналы праграмы

Вэб-маніторынг пачынаецца з мэты, а не з пункта захопу. Падлік актыўных кліентаў, вымярэнне часу выкліку API і чытанне целаў паведамленняў патрабуюць розных сведчанняў і розных рашэнняў аб прыватнасці. Шлюз, які перадае абаронены HTTPS, бачыць злучэнні, а не змест старонкі. Выбар няправільнага ўзроўню дае даныя, якія выглядаюць багатымі і не адказваюць ні на што.

Назвіце пытанне раней за крыніцу даных

Пачніце з аператыўнага рашэння, якое павінны падтрымліваць даныя. Пытанні даступнасці патрабуюць падлікаў і вымярэнняў часу, пытанні запытаў — шляхоў і кодаў стану, а пытанні зместу — целаў паведамленняў. Кожны крок углыб дадае чуласць і інжынерную складанасць. Атрымайце згоду ўладальніка сэрвісу і ўладальніка бяспекі на аўдыторыю, мэту і апрацоўку да пачатку збору, бо кіраванне тунелем — не гэтае рашэнне.

Запішыце пытанне адным сказам і трымайце яго побач з планам збору. Гэта адзіны надзейны кантроль абсягу.

Што шлюз можа і чаго не можа паказаць

Шлюз, які перадае карэктна абаронены HTTPS, звычайна бачыць адрасы, парты і аб’ёмы, а не радкі запытаў ці целы.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

Спіс conntrack паказвае патокі і пераўтварэнні, а кароткі захоп паказвае пакеты без чытэльнага зместу праграмы. Гэтага дастаткова, каб адказаць, ці ідзе трафік, колькі і паміж якімі канцавымі кропкамі. Гэта не спіс URL, і звычайны проксі CONNECT перадае зашыфраваны абмен без завяршэння TLS праграмы. Калі хтосьці абяцае шляхі запытаў з гэтай пазіцыі, запытайце, які кампанент расшыфроўвае і пад чыім даверам.

Журналы праграмы адказваюць на большасць пытанняў запытаў

Для праграмы, якой вы кіруеце, яе ўласнае падтрымліванае журналаванне звычайна адказвае на пытанне ўзроўню запыту, не расшыфроўваючы злучэнні іншых.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Запыт стану вымярае даступнасць з пазіцыі кліента, а журнал доступу запісвае палі, якія сервер ужо выбраў захоўваць. Выберыце палі, патрэбныя задачы, а астатняе пакіньце, бо нават URL можа несці чулыя параметры. Радок журнала — сведчанне пра гэты сэрвіс, а не пра кожны іншы сэрвіс, да якога карыстальнік дабраўся праз тунель. Захаванне вузкага збору захоўвае і пытанне ўтрымання малым, таму задайце акно, карацейшае за думку-эксперымент, які спарадзіў патрабаванне.

Перахоп — асобная архітэктура даверу

Калі агляд на ўзроўні паведамленняў сапраўды патрэбны, перахоп TLS стварае новы давераны пункт і дамоўленасць даверу кліента, якую трэба раздаваць і падтрымліваць. Праграмы, якія замацоўваюць сертыфікаты, зламаюцца, і аператар цяпер трымае прыватныя ключы, абарона якіх важная не менш за любы серверны ключ. Прымус да збору праз аслабленне праверкі сертыфікатаў або праз праўку праграмы, якая замацоўвае свае сертыфікаты, мяняе сродак бяспекі на радок журнала. Аддайце перавагу дакументаванай схеме агляду, чый давер ужо кіруецца, і трымайце прыватны ключ органа па-за ўсім агульным.

У канцы акна збору прыбярыце канфігурацыю і яе матэрыял даверу праз іх уладальнікаў і знішчыце захаваныя сведчанні па ўзгодненай палітыцы. Дастаткова надзейнай інфармацыі для абвешчанай мэты — крытэр поспеху, а не найбольшы магчымы захоп.