Може ли VPN журнал да покаже история на сърфирането? Какво доказват доказателствата
Журналът на сесията, заявката към резолвера и записът за поток доказват различни неща. Изберете въпроса, свържете самоличност и време и кажете само какво е било показано.
Два одиторски въпроса звучат сходно и изискват доказателства от различен вид. На въпроса коя сесия е отправила заявка към този адрес може да се отговори от записите за връзки и потоци. На въпроса кой човек е отворил тази страница обикновено не, поне не от тези записи. Изборът на колектор преди избора на въпрос е начинът, по който мрежовият екип започва да представя име на хост като история на сърфирането.
Започнете със събитието, което одитът трябва да установи
Напишете въпроса като изречение с подлог, сказуемо и време. Само тази дисциплина разкрива разликата между запис за сесия и преглед на страница. Журналът на сесията установява, че дадена самоличност е приета за интервал, с присвоен адрес при записана политика, и не може да установи коя страница е чел някой, защото никога не е виждал заявката.
Наименувайте наблюдението, преди да проектирате събирането. Поле, наречено на посетен сайт, което всъщност съхранява разпознато име, е бъдеща грешка, а не удобство. Имената на полетата живеят по-дълго от хората, които са ги избрали, затова избирайте такива, които описват доказателството, а не извода.
Какво може и какво не може да подкрепи всеки запис
Четири типа записи се срещат в почти всеки одиторски проект и всеки отговаря на различен въпрос. Дръжте ги отделно както в доклада, така и в конвейера, защото смесването им е начинът защитима констатация да стане неудобна.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Прочетете последната колона толкова внимателно, колкото средната. Записът за поток описва адреси и портове, а обратното търсене на адрес не възстановява името, което браузърът е използвал, защото един адрес може да хоства много несвързани сайтове. Заявката към резолвера доказва, че е зададен въпрос, а не че е показана страница. И името на хост, видимо при TLS договаряне, също не е пътят на криптираната заявка.
Всяко от тях е истинско наблюдение и нито едно не е наблюдението, което хората предполагат. Браузър, който настоява на собствен криптиран резолвер, стои извън наблюдавания обхват и анализът не може да възстанови онова, което журналът никога не е видял. Тази липса принадлежи в доклада като заявено ограничение, а не като бележка под линия.
Предварителни заявки и кеширани отговори
Браузърите разпознават имена предварително, понякога без да зареждат нищо. Те отговарят и от кеша, без да изпращат нова заявка до резолвера, който наблюдавате, което означава, че липсата на заявка не е липса на посещение. И двете поведения чупят наивното равенство между DNS журнал и история на сърфирането.
DNS през HTTPS добавя втора граница: браузър или гостуващо приложение със собствен резолвер никога не пита нищо регистратора на организацията. Точни транзакции идват само от собствените събития на приложението или от прокси, чието журналиране изрично поддържате. Обикновен тунел HTTPS CONNECT оставя проксито без никакъв изглед към пътищата на страниците вътре в него. Собствеността върху мрежата не е разрешение тихо да се подмени моделът на доверие на приложението.
Адресът принадлежи на сесия, а не на човек
Записът за поток с адрес от тунелния диапазон е отправна точка, а не отговор. Свържете този адрес и времева марка с присвояването на сесия, активно в този момент, защото този адрес може да бъде прехвърлен на друга сесия час по-късно. Статичното адресиране е един начин да се запази тази връзка и не единственият.
Когато стъпка на транслация свива няколко устройства в един адрес на източник преди сензора, свързването може да назове само споделената сесия на шлюза. Споделен акаунт или сертификат, използван от няколко души, ограничава атрибуцията, колкото и пълни да изглеждат мрежовите данни. И двете принадлежат в доклада като ограничения, а не като уточнения за по-късно.
Запишете часовата зона, източника на часовник, точката на наблюдение и всяка граница на транслация между тях. Отсъствието заслужава същото внимание като присъствието, защото липсващ запис може да означава, че запис за поток е изтекъл, че сензор никога не е видял пакета или че журнал на приложение е бил изключен.
Проектирайте за заявената цел, после докажете конвейера
След като въпросът е фиксиран, определете кои полета са нужни, кой може да ги чете и колко дълго се пазят. Събирането на повече, защото съхранението е евтино, създава отговорност, която надживява разследването. Моделът за поверителност в RFC 6973 разглежда корелацията, погрешното приписване и ненужното събиране като проблеми на проектирането, а не като последващи мисли.
Пазете съответствието и записите като един обект, защото всяко само по себе си е много по-малко чувствително от двойката. След това проверете проекта срещу активност, която ви е разрешено да генерирате и вече разбирате, използвайки най-малката заявка, на която докладът ще разчита. Конвейер, който не може да възпроизведе известно събитие, няма да възпроизведе и неизвестно. Съобщете събитието, което доказателствата подкрепят, с думите, които доказателствата позволяват, и оставете читателя сам да стигне до по-големия извод.
Напишете ограниченията до констатацията: какво е свързано, какво е преведено и кой журнал е останал мълчалив. Констатация, която заявява собствените си граници, издържа преглед, на който уверено резюме не издържа. Това е разликата между доказателство и разказ за доказателство.