Дзе імя карыстальніка VPN знікае з канвеера журналаў?

Сеансы з’яўляюцца на панэлі, а слупок імя карыстальніка застаецца пустым, і першая думка — вінаваціць парсер. Гэтая думка прапускае тры больш раннія этапы, дзе значэнне магло быць страчана. Шлюз можа замаскіраваць ідэнтычнасць па палітыцы, правіла прыёму можа выдаліць яе да індэксацыі, а выманне ў час пошуку можа проста не назваць яе. Выпраўленне залежыць ад таго, якую мяжу вы можаце даказаць як адказную, таму карысная праца — гэта параўнанне, а не налада.

Пачніце з адной падзеі, а не з панэлі

Выберыце адну падзею аўтэнтыфікацыі і запішыце, што яе вызначае: мадэль і версія шлюза, метад аўтэнтыфікацыі, ідэнтыфікатар падзеі, пазнака часу і адрас крыніцы. Дадайце імя карыстальніка менавіта так, як яго ўвёў чалавек, уключаючы рэгістр, бо пошук з улікам рэгістра можа схаваць поле, якое прысутнічае. Лічыце гэтую падзею эталонам для кожнага наступнага параўнання.

Тыпы падзей не маюць адной схемы. Няўдалая спроба, паспяховы ўваход без кліента і перападключэнне тунэля могуць даваць розныя палі, а некаторыя шлюзы апускаюць ідэнтычнасць, калі спроба не дасягнула аўтэнтыфікацыі карыстальніка. Таму пусты слупок у адным тыпе падзей — слабы доказ праблемы канвеера.

Працуйце з зацверджанай тэставай ідэнтычнасцю, а не з рэальным уліковым запісам супрацоўніка, і трымайце параўнанне ў межах правілаў доступу, якія ўжо кіруюць данымі журналаў. Шырокае ўключэнне падрабязнага журнала аўтэнтыфікацыі дзеля ўзору змяняе сістэму, якую вы спрабуеце вымераць.

Параўнайце чатыры мяжы па парадку

Значэнне можа знікнуць у адным з чатырох пунктаў. Кожны пункт мае іншага ўладальніка і іншае выпраўленне.

Спыніцеся на першай мяжы, дзе значэнне знікае. Няўзгодненасць паміж выглядам прылады і неапрацаванай копіяй паказвае на налады транспарту або зборшчыка; супадзенне там, але адсутнасць значэння ў індэксаванай падзеі паказвае на пераўтварэнне; значэнне, якое ёсць у індэксаванай падзеі, але адсутнічае на панэлі, паказвае на выманне або запыт.

Гэты парадак важны, бо кожны наступны этап можа толькі страціць інфармацыю і ніколі яе не аднавіць. Рэгулярны выраз не можа вярнуць радок, які папярэдні этап замяніў запаўняльнікам, а налада прыватнасці не можа патлумачыць значэнне, якое ніколі не адпраўлялася.

Маскіраванне ў крыніцы — гэта палітыка, а не памылка парсера

Дакументацыя па журнаванні ASA ад Cisco апісвае хаванне імя карыстальніка як наладжвальныя паводзіны, уключаючы тое, як прадстаўляюцца няправільныя або невядомыя імёны. Таму замаскіраваная ідэнтычнасць у зыходнай падзеі можа быць менавіта тым, што патрабуе палітыка прыватнасці, і стаўленне да яе як да памылкі разбору вядзе да запыту, які паслабляе наладу.

Дакладнае прадстаўленне залежыць ад версіі і тыпу паведамлення. Адна падзея можа несці запаўняльнік, другая можа цалкам апусціць поле, а збой аўтэнтыфікацыі можа ніколі не ўтрымліваць імя. Праверце дакументаваныя паводзіны для канкрэтнай падзеі, а не прымяняйце старую справаздачу пра памылку да кожнай адсутнай ідэнтычнасці.

Калі маскіраванне наўмыснае, пытанне змяняецца з таго, як аднавіць поле, на тое, ці можна задаволіць патрабаванне аўдыту іншым шляхам. Ідэнтыфікатары сеансаў, кантраляванае супастаўленне ідэнтычнасцяў, якое трымае меншая група, або вузейшы дазволены паток падзей часта задавальняюць патрэбу, не ставячы кожнае спробаванае імя карыстальніка перад кожным чытачом журналаў.

Ананімізацыю да індэксацыі нельга адмяніць

Дакументацыя Splunk па апрацоўцы падзей апісвае ананімізацыю праз выразы sed і пераўтварэнні, якія перапісваюць або выдаляюць даныя да індэксацыі. Менавіта размяшчэнне і мае значэнне: неапрацаваная падзея змяняецца на ўваходзе, таму выманню ў час пошуку не застаецца нічога знайсці.

Рэдагаванне ў час індэксацыі і выманне палёў у час пошуку вырашаюць розныя задачы. Рэдагаванне абмяжоўвае, хто ўвогуле можа бачыць значэнне; выманне толькі вырашае, якое імя выкарыстоўвае запыт. Хэшаванне — прамежкавы варыянт, які захоўвае карэляцыю, але стабільны хэш над невялікай прасторай імёнаў карыстальнікаў усё яшчэ ідэнтыфікуе, калі нехта можа правяраць на ім меркаваныя імёны.

Калі захаваная падзея ўсё яшчэ ўтрымлівае ідэнтычнасць, праблема ніжэй: тып крыніцы, разбіццё радкоў, апрацоўка раздзяляльнікаў, псеўданімы палёў або сам запыт. Гэта звычайныя выпраўленні разбору, і яны не закранаюць мяжу прыватнасці.

Выберыце выпраўленне, якое адпавядае мяжы

Адказ вызначаюць тры ўмовы. Па-першае, ці мае палітыка прыватнасці намер выключыць ідэнтычнасць? Па-другое, ці патрэбны працэсу аўдыту або расследавання ідэнтычнасць, псеўданім або толькі сеанс? Па-трэцяе, на якой мяжы патрэбна значэнне — збор, захоўванне або паказ?

Калі палітыка мае намер выключыць, змяніце патрабаванне або паказ, а не наладу. Калі палітыка дазваляе ідэнтычнасць, але збор яе губляе, выпраўце зборшчык і пацвердзіце неапрацаваную падзею. Калі захоўванне цэлае, адрамантуйце выманне і праверце яго на зацверджанай падзеі, якую вы захавалі напачатку.

Закрыйце расследаванне, назваўшы мяжу ў запісе пра змену: замаскіравана ў крыніцы, выдалена падчас прыёму або прапушчана выманнем. Гэтае адно сказ паведамляе наступнаму інжынеру, дзе шукаць перш за ўсё, і не дазваляе скарзе на панэль ператварыцца ў ціха адключаную функцыю прыватнасці.