Uchovávání VPN logů: važte je na incident, ne na číslo
Uchovávání se řídí incidentem, obsahem a politikou, ne univerzální lhůtou. Najděte každou kopii, zastavte podrobné sbírání a veďte krátký záznam.
Nikdo se vlastně neptá, jak dlouho uchovávat VPN log; ptají se, k čemu log je, a odpověď na to určuje datum. Z jednoho incidentu mohou vzejít dva soubory s různou životností, a jejich pojetí jako jediné politiky přináší zároveň nadměrné uchovávání i ztrátu důkazů. Ladicí export pořízený, dokud byla příčina neznámá, není stejný artefakt jako řádek v monitorovacím úložišti. Začněte účelem a potom zvolte datum.
Než zvolíte datum, odpovězte na čtyři otázky
Čtyři otázky rozhodují, zda soubor zůstane: je incident stále otevřený, co soubor obsahuje, kdo ho potřebuje číst a co vyžaduje platná politika. Odpovězte v tomto pořadí a datum uchovávání vyplyne samo. Zdůvodnění se vejde do tabulky:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Dokud je incident otevřený, držte jeden chráněný originál, abyste později mohli porovnat události nebo odpovědět na dotaz podpory, a přiřaďte mu písemně vlastníka a účel. Pro kohokoli mimo reakční tým obvykle stačí krátký redigovaný výňatek a obhajuje se mnohem snáze než plný export. Originál a výňatek jsou oddělené artefakty s odděleným publikem a právě jejich sloučení vytváří nadměrné uchovávání i ztrátu důkazů. Politika stanoví spodní hranici, takže pokud vyžaduje delší dobu než vaše zdůvodnění, vyhrává politika.
Uzavřete incident záznamem, ne exportem
Napište do tiketu záznam o čtyřech řádcích: symptom, klient a verze, jediný chybový řádek, který ho identifikoval, a oprava. Nepřikládejte nic dalšího, protože export byl pro vás a záznam je pro dalšího člověka.
Záznam má také větší šanci, že bude přečten: plný export slouží většinou tomu, kdo ho pořídil, a ten už ví, co se stalo. Uchovávejte záznam tam, kde se bude hledat při dalším incidentu, což obvykle znamená tiket, ne složku pojmenovanou podle data. Číslo případu může nést odkaz, pokud záznam musí být dohledatelný bez odhalení identifikátoru spojení. Pokud je nějaká otázka stále otevřená, originál zůstává podle pravidla chráněné kopie výše; jakmile záznam existuje, všechno ostatní může jít.
Najděte každou kopii, než jednu smažete
Podívejte se do složky exportu, potom do journalu pro okno incidentu, potom do příloh tiketu, potom do katalogu záloh, potom do monitorovacího úložiště. Pokud se stejný identifikátor spojení objeví na pátém místě, inventura byla špatná. Journal bývá obvyklým překvapením, protože sbíral dál, zatímco jste četli export.
Použijte podporovanou cestu rotace a mazání místo ručního odpojování souborů. Soubor, který je stále otevřený, si po zmizení položky adresáře ponechá své úložiště, takže smazání vypadá úplné a nic neuvolní. To je chyba úložiště s nálepkou soukromí a nesplňuje ani jeden z obou cílů.
Zastavte sběr, než ověříte smazání
Zastavte dočasný podrobný sběr prostřednictvím aplikace, která ho vlastní, ne úpravou jejího výstupního souboru. Zapomenuté ladicí nastavení dál zapisuje nové záznamy poté, co byly staré odstraněny, a tiše tak ruší práci, kterou jste právě udělali. Zkontrolujte skutečnou úroveň logování, ne hodnotu, kterou si pamatujete, že jste nastavili. Potom potvrďte, že to, co zbylo, je chráněné a že k němu mají přístup jen zamýšlení lidé.
Principem je minimalizace dat: držte to, co uvedený účel potřebuje, tak dlouho, jak to potřebuje, a nic víc, jak to pokyny k soukromí RFC 6973 formulují. Soubor uchovávaný bez účelu je závazek s časovým razítkem. Rozhodnutí je hotové, když dokážete pojmenovat soubor, jeho účel, jeho vlastníka a jeho konečné datum.