A all log VPN ddangos hanes pori? Beth mae'r dystiolaeth yn ei brofi
Mae log sesiwn, ymholiad datryswr a chofnod ffrwd yn profi pethau gwahanol. Dewiswch y cwestiwn, ymunwch hunaniaeth ac amser, ac wedyn nodwch yn unig yr hyn a ddangoswyd.
Mae dau gwestiwn archwilio yn swnio'n debyg ac yn gofyn am dystiolaeth o fathau gwahanol. Mae pa sesiwn a gysylltodd â'r cyfeiriad hwn yn atebadwy o gofnodion cysylltiad a ffrwd. Mae pa berson a agorodd y dudalen hon fel arfer ddim, o leiaf nid o'r cofnodion hynny. Dewis casglwr cyn dewis y cwestiwn yw sut y mae tîm rhwydwaith yn gorffen trwy gyflwyno enw lletywr fel hanes pori.
Dechreuwch gyda'r digwyddiad y mae'r archwiliad yn rhaid ei sefydlu
Ysgrifennwch y cwestiwn fel brawddeg gyda goddrych, berf ac amser. Mae'r ddisgyblaeth honno ar ei phen ei hun yn datgelu y bwlch rhwng cofnod sesiwn a golwg ar dudalen. Mae log sesiwn yn sefydlu bod hunaniaeth wedi'i derbyn am gyfnod, gyda chyfeiriad a benodwyd o dan bolisi a gofnodwyd, ac ni all sefydlu pa dudalen a ddarllenodd unrhyw un oherwydd na welodd y cais erioed.
Enwch yr arsylwad cyn dylunio'r casgliad. Mae maes a enwir ar ôl safle a ymwelwyd ag ef sy'n storio enw wedi'i ddatrys mewn gwirionedd yn gamgymeriad yn y dyfodol, nid yn hwylustod. Mae enwau meysydd yn byw'n hirach na'r bobl a'u dewisodd, felly dewiswch rai sy'n disgrifio'r dystiolaeth yn hytrach na'r casgliad.
Beth all pob cofnod ei gefnogi a beth na all
Mae pedwar math o gofnod yn ymddangos ym mron pob dyluniad archwilio, ac mae pob un yn ateb cwestiwn gwahanol. Cadwch nhw ar wahân yn yr adroddiad yn ogystal ag yn y biblinell, oherwydd cymysgu'r rhain yw sut y mae canfyddiad amddiffynadwy yn troi'n un cywilyddus.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Darllenwch y golofn olaf mor ofalus â'r un ganol. Mae cofnod ffrwd yn disgrifio cyfeiriadau a phorthladdoedd, ac nid yw chwiliad gwrthdro o gyfeiriad yn ailadeiladu'r enw a ddefnyddiodd porwr, oherwydd gall un cyfeiriad gynnal llawer o safleoedd heb gysylltiad. Mae ymholiad datryswr yn profi bod cwestiwn wedi'i ofyn, nid bod tudalen wedi'i dangos. Ac nid yw enw lletywr sy'n weladwy yn ystod trafod TLS yn llwybr y cais wedi'i amgryptio chwaith.
Mae pob un o'r rhain yn arsylwad go iawn, ac nid oes yr un ohonynt yn yr arsylwad y mae pobl yn ei dybio. Mae porwr sy'n mynnu ei ddatryswr amgryptiedig ei hun yn eistedd y tu allan i'r cwmpas a fonitrwyd, ac ni all dadansoddiad adfer yr hyn na welodd y log erioed. Mae'r bwlch hwnnw'n perthyn i'r adroddiad fel cyfyngiad a ddatganwyd yn hytrach nag fel troednodyn.
Ymholiadau rhagweladwy ac atebion wedi'u cache
Mae porwyr yn datrys enwau ymlaen llaw, weithiau heb lwytho dim o gwbl. Maent hefyd yn ateb o'r cache heb anfon ymholiad newydd at y datryswr rydych chi'n ei wylio, sy'n golygu nad yw absenoldeb ymholiad yn absenoldeb ymweliad. Mae'r ddau ymddygiad yn torri'r hafaliad naïf rhwng log DNS a hanes pori.
Mae DNS dros HTTPS yn ychwanegu ail ffin: nid yw porwr nac ap gwadd sydd â'i ddatryswr ei hun byth yn gofyn unrhyw beth i gofnodydd y sefydliad. Dim ond o ddigwyddiadau'r ap ei hun neu o brocsi rydych chi'n cefnogi ei gofnodi'n benodol y daw trafodion union. Mae twnnel HTTPS CONNECT plaen yn gadael y procsi heb unrhyw olwg ar lwybrau'r tudalennau y tu mewn iddo. Nid yw perchnogi'r rhwydwaith yn ganiatâd i ddisodli model ymddiriedaeth yr ap yn dawel.
Mae'r cyfeiriad yn perthyn i sesiwn, nid i berson
Mae cofnod ffrwd sy'n cario cyfeiriad o ystod y twnnel yn fan cychwyn yn hytrach nag yn ateb. Ymunwch y cyfeiriad a'r stamp amser hwnnw â'r aseiniad sesiwn oedd yn weithredol yn y foment honno, oherwydd gall y cyfeiriad hwnnw gael ei ailbennu i sesiwn wahanol awr yn ddiweddarach. Mae cyfeirio statig yn un ffordd o gadw'r cysylltiad hwnnw, ac nid yr unig un.
Pan fydd cam cyfieithu yn cwympo sawl dyfais i un cyfeiriad ffynhonnell uwchlaw'r synhwyrydd, dim ond sesiwn y porth cyffredin y gall y cysylltiad ei henwi. Mae cyfrif a rennir neu dystysgrif a ddefnyddir gan sawl person yn cyfyngu ar briodoli waeth pa mor gyflawn y mae'r data rhwydwaith yn edrych. Mae'r ddau yn perthyn i'r adroddiad fel cyfyngiadau yn hytrach nag fel rhybuddion ar gyfer yn ddiweddarach.
Cofnodwch y parth amser, ffynhonnell y cloc, y man arsylwi a phob ffin gyfieithu rhyngddynt. Mae absenoldeb yn haeddu'r un gofal â phresenoldeb, oherwydd gall cofnod coll fod yn golygu bod cofnod ffrwd wedi dod i ben, na welodd synhwyrydd y pecyn erioed, neu fod log ap wedi'i ddiffodd.
Dyluniwch ar gyfer y diben a ddatganwyd, yna profwch y biblinell
Ar ôl i'r cwestiwn gael ei osod, diffiniwch pa feysydd sydd eu hangen, pwy gaiff eu darllen, a chyn hired y cânt eu cadw. Mae casglu mwy oherwydd bod storio'n rhad yn creu atebolrwydd sy'n goroesi'r ymchwiliad. Mae model preifatrwydd RFC 6973 yn fframio cydberthynas, cam-briodoli a chasglu diangen fel problemau dylunio yn hytrach nag fel meddyliau hwyr.
Gwarchodwch y mapio a'r cofnodion fel un gwrthrych, oherwydd mae pob un ar ei ben ei hun yn llawer llai sensitif na'r pâr. Yna dilyswch y dyluniad yn erbyn gweithgarwch y cewch ei gynhyrchu ac rydych chi eisoes yn ei ddeall, gan ddefnyddio'r ymholiad lleiaf y bydd yr adroddiad yn dibynnu arno. Ni fydd biblinell na all atgynhyrchu digwyddiad hysbys yn atgynhyrchu un anhysbys chwaith. Adroddwch y digwyddiad y mae'r dystiolaeth yn ei gefnogi, yn y geiriau y mae'r dystiolaeth yn eu caniatáu, a gadewch i'r darllenydd gyrraedd y casgliad mwy heb help.
Ysgrifennwch y cyfyngiadau wrth ymyl y canfyddiad: beth a ymunwyd, beth a gyfieithwyd, a pha log a arhosodd yn fud. Mae canfyddiad sy'n nodi ei ffiniau ei hun yn goroesi adolygiad nad yw crynodeb hyderus yn ei oroesi. Dyna'r gwahaniaeth rhwng tystiolaeth a stori am dystiolaeth.