Какво може и какво не може да докаже VPN журнал за разглеждането

Преди да изберете събирач на журнали, решете кое събитие трябва да установи одитът. Въпросът коя VPN сесия се е свързала с адрес на местоназначение е различен от въпроса кой човек е отворил определена страница. Двете изискват различни записи, различни свързвания и различни нива на увереност. Журналът на връзка OpenVPN отговаря на първия и не може да отговори на втория.

Наименувайте събитието, преди да изберете събирач

Записът за сесия показва приета самоличност, начален и краен час и адрес, който сървърът е задал по своя политика. Журналът на резолвера показва, че име е било запитано при този резолвер. Записът за поток показва адреси, портове, протокол и време, а журналът на приложението показва транзакцията, която приложението действително е обработило. Нито един от тези четири не замества друг.

Всеки от тях установява едно събитие и оставя останалите открити. Записването на въпроса първо ви спира да сглобите история, която данните не могат да подкрепят.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Първата команда показва събития на сесията от журнала на услугата. Втората отпечатва текущия списък с клиенти и зададените адреси, което е съпоставката, от която зависи свързването при одит. Третата показва живото състояние на потока, полезно само докато връзката още съществува.

Едно търсене не е посещение

Браузърът разрешава имена предположително, кешира отговори и ги използва повторно, без да пита отново наблюдавания резолвер. Затова име в журнала на резолвера доказва търсене, не посещение. DNS през HTTPS разширява тази разлика, защото браузър, настроен за него, изпраща въпросите си там, където обикновеният ви логер никога не ги вижда.

Адресите на местоназначението не са по-добри сами по себе си. Един адрес може да хоства много несвързани сайтове, обратният DNS е предположение, а не реконструкция, а име на хост, видимо при TLS ръкостискане, не е пътят на заявката вътре в шифрованата сесия.

За точни транзакции са ви нужни собствените записи за събития на приложението или прокси архитектура, изрично поддържана за логване. Тунел CONNECT дава на проксито местоназначението и обема, но не пътищата на страниците вътре в него. Административният достъп до мрежата не е лиценз тихо да замени модела на доверие на приложението.

Свържете самоличност и време, преди да назовете човек

Запис за поток с вътрешен адрес на източник не означава нищо, докато този адрес не се свърже със сесия по същото време. Адресите се използват повторно и същият адрес може да е принадлежал на друга сесия час по-рано. Статичното задаване е един начин да се запази връзката, не единственият.

Границите на превод отслабват свързването още повече. Ако няколко устройства вече са споделяли един адрес на източник преди вашата точка на наблюдение, най-доброто, което можете да идентифицирате, е споделената сесия на шлюза, а не отделно устройство. Сертификат или акаунт, използван от няколко души, има същия ефект.

Записвайте часови зони, източници на часовник, точки на наблюдение и всяка преводна стъпка. Липсващите записи може да означават, че запис за поток е остарял, че сензор е бил заобиколен или че журнал на приложение е бил изключен. Отсъствието не е доказателство, че нищо не се е случило.

След това определете минималните полета, разрешените читатели и срока на съхранение за заявената цел. Корелацията и погрешното приписване са въпроси на дизайна, а не добавка, и метаданните, които идентифицират хора, заслужават същата защита като картата на самоличността, от която зависят.

Тествайте одита с активност, която контролирате

Генерирайте разрешен трафик, чиято сесия и приложение вече знаете, после проверете какво действително е уловил всеки запис. Направете търсене без зареждане на страницата, заредете страница от кеша и отворете връзка през прокси и вижте кои събития се появяват.

Съобщете събитието, което доказателствата подкрепят, и кажете какво не покриват. Скромен запис с обявен обхват издържа преглед; амбициозна история на разглеждане, сглобена от предположения, не издържа.