Co může a co nemůže VPN protokol prokázat o prohlížení

Než zvolíte sběrač záznamů, rozhodněte, kterou událost má audit prokázat. Otázka, která VPN relace kontaktovala cílovou adresu, je jiná než otázka, která osoba otevřela konkrétní stránku. Obě vyžadují jiné záznamy, jiná propojení a jinou míru jistoty. Protokol spojení OpenVPN odpovídá na první a nemůže odpovědět na druhou.

Pojmenujte událost dřív, než zvolíte sběrač

Záznam relace ukazuje přijatou identitu, čas začátku a konce a adresu, kterou server přidělil podle své politiky. Protokol překladače ukazuje, že se na tomto překladači dotazovalo jméno. Záznam toku ukazuje adresy, porty, protokol a čas a protokol aplikace ukazuje transakci, kterou aplikace skutečně obsloužila. Žádný z těch čtyř nenahrazuje jiný.

Každý z nich prokazuje jednu událost a ostatní nechává otevřené. Zapsání otázky předem vám brání sestavit příběh, který data nemohou podpořit.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

První příkaz ukazuje události relace z protokolu služby. Druhý vypíše aktuální seznam klientů s přidělenými adresami, což je mapování, na kterém závisí propojení při auditu. Třetí ukazuje živý stav toku, užitečný jen dokud spojení existuje.

Dotaz není návštěva

Prohlížeč překládá jména spekulativně, odpovědi ukládá do mezipaměti a znovu je používá, aniž by se sledovaného překladače znovu ptal. Jméno v protokolu překladače proto prokazuje dotaz, nikoli návštěvu. DNS přes HTTPS tuto mezeru rozšiřuje, protože prohlížeč tak nastavený posílá své otázky tam, kde je váš běžný záznamník nikdy nevidí.

Cílové adresy samy o sobě lepší nejsou. Jedna adresa může hostovat mnoho nesouvisejících stránek, reverzní DNS je dohad a ne rekonstrukce a jméno hostitele viditelné během výměny TLS není cestou požadavku uvnitř šifrované relace.

Pro přesné transakce potřebujete vlastní záznamy událostí aplikace nebo návrh proxy, který je pro protokolování výslovně podporován. Tunel CONNECT dává proxy cíl a objem, ne cesty stránek uvnitř. Administrativní přístup k síti není licence k tichému nahrazení modelu důvěry aplikace.

Spojte identitu a čas, než pojmenujete osobu

Záznam toku s vnitřní zdrojovou adresou neznamená nic, dokud se tato adresa ve stejnou dobu nespojí s relací. Adresy se znovu používají a stejná adresa mohla o hodinu dříve patřit jiné relaci. Statické přidělení je jeden způsob, jak spojení udržet, ne jediný.

Hranice překladu propojení dále oslabují. Pokud několik zařízení již sdílelo jednu zdrojovou adresu před vaším pozorovacím bodem, nejlepší, co můžete určit, je sdílená relace brány, nikoli jediné zařízení. Certifikát nebo účet používaný několika lidmi má stejný účinek.

Zaznamenejte časová pásma, zdroje času, pozorovací body a každý krok překladu. Chybějící záznamy mohou znamenat, že záznam toku vypršel, že byl senzor obejit nebo že protokol aplikace byl vypnutý. Nepřítomnost není důkaz, že se nic nestalo.

Poté určete minimální pole, povolené čtenáře a dobu uchování pro uvedený účel. Korelace a chybná atribuce jsou otázky návrhu, ne dodatečný nápad, a metadata, která identifikují lidi, si zaslouží stejnou ochranu jako mapování identity, na kterém závisí.

Otestujte audit aktivitou, kterou ovládáte

Vygenerujte povolený provoz, jehož relaci a aplikaci už znáte, a pak zkontrolujte, co každý záznam skutečně zachytil. Proveďte dotaz bez načtení stránky, načtěte stránku z mezipaměti a otevřete spojení přes proxy a podívejte se, které události se objeví.

Hlaste událost, kterou důkazy podporují, a řekněte, co nepokrývají. Skromný záznam s uvedeným rozsahem projde revizí; ambiciózní historie prohlížení složená z dohadů neprojde.