Захаванне журналаў VPN: прывяжыце яго да інцыдэнту, а не да ліку
Тэрмін захавання вынікае з інцыдэнту, змесціва і палітыкі, а не з універсальнага дэдлайна. Знайдзіце кожную копію, спыніце падрабязны збор і пакіньце кароткі запіс.
Ніхто насамрэч не пытае, колькі трэба захоўваць журнал VPN; пытаюць, для чаго ён патрэбны, і адказ на гэта вызначае дату. З аднаго інцыдэнту могуць выйсці два файлы з рознымі тэрмінамі жыцця, і калі разглядаць іх як адну палітыку, атрымліваецца адначасова і залішняе захаванне, і страта доказаў. Экспарт для адладкі, зроблены пакуль прычына была невядомая, не той самы артэфакт, што радок у сховішчы маніторынгу. Пачніце з мэты, потым выбірайце дату.
Адказвайце на чатыры пытанні, перш чым выбраць дату
Чатыры пытанні вырашаюць, ці застанецца файл: ці інцыдэнт яшчэ адкрыты, што змяшчае файл, каму трэба яго чытаць і што патрабуе адпаведная палітыка. Адказвайце ў гэтым парадку, і дата захавання вынікае сама. Разважанне змяшчаецца ў табліцы:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Пакуль інцыдэнт адкрыты, трымайце адзін абаронены арыгінал, каб потым параўнаць падзеі або адказаць на пытанне падтрымкі, і прызначце яму ўладальніка і мэту ў пісьмовым выглядзе. Для ўсіх па-за групай рэагавання звычайна дастаткова кароткай вычышчанай вытрымкі, і абараніць яе значна лягчэй, чым поўны экспарт. Арыгінал і вытрымка — асобныя артэфакты з асобнай аўдыторыяй, і менавіта іх зліццё стварае адначасова залішняе захаванне і страту доказаў. Палітыка задае ніжнюю мяжу, таму калі яна патрабуе даўжэй, чым ваша разважанне, перамагае палітыка.
Закрыйце інцыдэнт запісам, а не экспартам
Запішыце ў тыкет запіс з чатырох радкоў: сімптом, кліент і версія, адзіны радок памылкі, які яго выявіў, і выпраўленне. Больш нічога не далучайце, бо экспарт быў для вас, а запіс — для наступнага чалавека.
Запіс яшчэ і часцей прачытаюць: поўны экспарт пераважна служыць таму, хто яго зняў, а гэты чалавек ужо ведае, што адбылося. Трымайце запіс там, дзе будуць шукаць наступны інцыдэнт, а гэта звычайна тыкет, а не папка, названая датай. Нумар справы можа несці спасылку, калі запіс павінен быць прасочвальным без раскрыцця ідэнтыфікатара злучэння. Калі пытанне ўсё яшчэ адкрытае, арыгінал застаецца пад правілам абароненай копіі вышэй; як толькі запіс існуе, усё астатняе можна выдаляць.
Знайдзіце кожную копію, перш чым выдаліць адну
Паглядзіце ў папку экспарту, потым у журнал за акно інцыдэнту, потым у далучэнні тыкета, потым у каталог рэзервовых копій, потым у сховішча маніторынгу. Калі той самы ідэнтыфікатар злучэння ўсплывае ў пятым месцы, інвентарызацыя была няправільнай. Журнал — звычайная нечаканасць, бо ён працягваў збіраць, пакуль вы чыталі экспарт.
Выкарыстоўвайце падтрыманы шлях ратацыі і выдалення, а не адлучэнне файлаў уручную. Файл, які ўсё яшчэ адкрыты, захоўвае сваё сховішча пасля знікнення запісу каталога, таму выдаленне выглядае поўным і нічога не вызваляе. Гэта памылка сховішча ў маскіроўцы прыватнасці, і яна не задавальняе ні адну з дзвюх мэтаў.
Спыніце збор, перш чым правяраць выдаленне
Спыніце часовы падрабязны збор праз праграму, якая ім валодае, а не праз рэдагаванне яе файла вываду. Забытая налада адладкі працягвае пісаць новыя запісы пасля выдалення старых, што ціха адмяняе толькі што зробленую працу. Праверце фактычны ўзровень журналавання, а не значэнне, якое вы памятаеце. Затым пераканайцеся, што астатняе абаронена і што толькі прызначаныя людзі могуць яго атрымаць.
Прынцып — мінімізацыя даных: трымайце тое, што патрабуе заяўленая мэта, столькі, колькі гэта патрэбна, і нічога больш, як кіраўніцтва па прыватнасці RFC 6973 гэта фармулюе. Файл, які захоўваюць без мэты, — гэта адказнасць з адзнакай часу. Рашэнне завершана, калі вы можаце назваць файл, яго мэту, уладальніка і дату канчатка.