Què pot demostrar i què no un registre VPN sobre la navegació

Abans de triar un recollidor de registres, decidiu quin esdeveniment ha d'establir l'auditoria. Preguntar quina sessió VPN va contactar amb una adreça de destinació és una pregunta diferent de preguntar quina persona va obrir una pàgina concreta. Les dues requereixen registres diferents, unions diferents i nivells de confiança diferents. Un registre de connexió OpenVPN respon la primera i no pot respondre la segona.

Anomeneu l'esdeveniment abans de triar un recollidor

Un registre de sessió mostra una identitat acceptada, una hora d'inici i de final i una adreça que el servidor va assignar segons la seva pròpia política. El registre d'un resolutor mostra que es va consultar un nom en aquell resolutor. Un registre de flux mostra adreces, ports, protocol i hora, i un registre d'aplicació mostra la transacció que aquesta aplicació va gestionar realment. Cap d'aquests quatre no substitueix un altre.

Cadascun d'ells estableix un esdeveniment i deixa els altres oberts. Escriure la pregunta primer us impedeix muntar una història que les dades no poden sostenir.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

La primera ordre mostra esdeveniments de sessió del registre del servei. La segona imprimeix la llista actual de clients amb les adreces assignades, que és la correspondència de la qual depèn una unió d'auditoria. La tercera mostra l'estat de flux en directe, útil només mentre la connexió encara existeix.

Una consulta no és una visita

Un navegador resol noms de manera especulativa, emmagatzema les respostes i les reutilitza sense tornar a preguntar al resolutor monitorat. Per tant, un nom al registre d'un resolutor demostra una consulta, no una visita. El DNS sobre HTTPS amplia aquesta bretxa, perquè un navegador configurat així envia les seves preguntes on el vostre registrador habitual no les veu mai.

Les adreces de destinació no són millors per si soles. Una adreça pot allotjar molts llocs no relacionats, la DNS inversa és una conjectura i no una reconstrucció, i un nom d'amfitrió visible durant un intercanvi TLS no és el camí de la sol·licitud dins de la sessió xifrada.

Per a transaccions exactes necessiteu els registres d'esdeveniments propis de l'aplicació o un disseny de servidor intermediari admès explícitament per registrar. Un túnel CONNECT dona al servidor intermediari la destinació i el volum, no els camins de pàgina que hi ha dins. L'accés administratiu a la xarxa no és una llicència per substituir en silenci el model de confiança de l'aplicació.

Uniu identitat i temps abans de nomenar una persona

Un registre de flux amb una adreça d'origen interna no significa res fins que aquesta adreça s'uneix a una sessió en el mateix moment. Les adreces es reutilitzen, i la mateixa adreça pot haver pertangut a una sessió diferent una hora abans. L'assignació estàtica és una manera de mantenir l'associació, no l'única.

Les fronteres de traducció debiliten encara més la unió. Si diversos dispositius ja compartien una adreça d'origen abans del vostre punt d'observació, el millor que podeu identificar és la sessió de passarel·la compartida i no un sol dispositiu. Un certificat o un compte usat per diverses persones té el mateix efecte.

Registreu els fusos horaris, les fonts de rellotge, els punts d'observació i cada salt de traducció. Els registres que falten poden significar que una entrada de flux ha caducat, que s'ha evitat un sensor o que un registre d'aplicació estava desactivat. L'absència no és prova que no hagi passat res.

Després definiu els camps mínims, els lectors permesos i el període de retenció per a la finalitat declarada. La correlació i l'atribució errònia són qüestions de disseny i no un pensament posterior, i les metadades que identifiquen persones mereixen la mateixa protecció que la correspondència d'identitat de la qual depenen.

Proveu l'auditoria amb activitat que controleu

Genereu trànsit permès del qual ja coneixeu la sessió i l'aplicació, i després comproveu què ha capturat realment cada registre. Feu una consulta sense carregar la pàgina, carregueu una pàgina de la memòria cau i obriu una connexió a través d'un servidor intermediari, i mireu quins esdeveniments apareixen.

Informeu de l'esdeveniment que les proves sostenen i digueu què no cobreix. Un registre modest amb un abast declarat supera la revisió; un historial de navegació ambiciós muntat amb conjectures no la supera.