Dewis tystiolaeth HTTP: cofnodion y porth neu logiau’r ap

Mae monitro’r we yn dechrau â phwrpas, nid â phwynt dal. Mae cyfrif cleientiaid gweithredol, amseru galwad API a darllen cyrff negeseuon pob un yn gofyn am dystiolaeth wahanol a phenderfyniadau preifatrwydd gwahanol. Mae porth sy’n anfon HTTPS gwarchodedig ymlaen yn gweld cysylltiadau yn hytrach na chynnwys tudalen. Mae dewis y haen anghywir yn rhoi data sy’n edrych yn gyfoethog ac yn ateb dim.

Enwwch y cwestiwn cyn y ffynhonnell ddata

Dechreuwch â’r penderfyniad gweithredol y mae’n rhaid i’r data ei gefnogi. Mae cwestiynau argaeledd angen cyfrifon ac amseriadau, mae cwestiynau ceisiadau angen llwybrau a chodau statws, ac mae cwestiynau cynnwys angen cyrff negeseuon. Mae pob cam tuag i mewn yn ychwanegu sensitifrwydd a chymhlethdod peirianneg. Sicrhewch fod perchennog y gwasanaeth a pherchennog y diogelwch yn cymeradwyo cynulleidfa, pwrpas a thriniaeth cyn i’r casgliad ddechrau, oherwydd nid y penderfyniad hwnnw yw gweithredu’r tiwb.

Ysgrifennwch y cwestiwn mewn un frawddeg a’i gadw wrth ymyl y cynllun casglu. Dyma’r unig reolaeth gwmpas ddibynadwy.

Beth all y porth ei ddangos a beth na all

Mae porth sy’n anfon HTTPS wedi’i warchod yn gywir ymlaen fel arfer yn gweld cyfeiriadau, pyrth a chyfrolau, nid llinellau cais na chyrff.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

Mae’r rhestr conntrack yn dangos llifau a chyfieithiadau, ac mae’r daliad byr yn dangos pecynnau heb gynnwys cymhwysiad darllenadwy. Mae hynny’n ddigon i ateb a yw traffig yn llifo, faint, a rhwng pa derfynbwyntiau. Nid yw’n rhestr o URL, ac mae procsï CONNECT cyffredin yn anfon y cyfnewid amgryptio ymlaen heb derfynu TLS y cymhwysiad. Pan fo rhywun yn addo llwybrau cais o’r safbwynt hwnnw, gofynnwch pa gydran sy’n dadgryptio a than ba ymddiriedaeth.

Mae logiau’r cymhwysiad yn ateb y rhan fwyaf o gwestiynau ceisiadau

Ar gyfer cymhwysiad rydych chi’n ei weithredu, mae ei logio â chymorth ei hun fel arfer yn ateb y cwestiwn ar lefel cais heb ddadgryptio cysylltiadau neb arall.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Mae’r cais iechyd yn mesur argaeledd o safbwynt cleient, ac mae’r log mynediad yn cofnodi’r meysydd y dewisodd y gweinydd eu cadw’n barod. Dewiswch y meysydd y mae’r dasg eu hangen a gadael y gweddill allan, oherwydd gall hyd yn oed URL gario paramedrau sensitif. Mae llinell log yn dystiolaeth am y gwasanaeth hwnnw, nid am bob gwasanaeth arall y cyrhaeddodd y defnyddiwr trwy’r tiwb. Mae cadw’r casgliad yn gul hefyd yn cadw’r cwestiwn cadw’n fach, felly gosodwch ffenestr sy’n fyrrach na’r arbrawf meddwl a gynhyrchodd y gofyniad.

Mae rhyng-gipio yn ddyluniad ymddiriedaeth ar wahân

Os oes wir angen arolygu ar lefel neges, mae rhyng-gipio TLS yn creu terfynbwynt ymddiriedol newydd a threfniant ymddiriedaeth cleient y mae’n rhaid ei ddosbarthu a’i gynnal. Bydd cymhwysiadau sy’n pinio tystysgrifau yn torri, ac mae’r gweithredwr nawr yn dal allweddi preifat y mae eu gwarchodaeth yr un mor bwysig ag unrhyw allwedd gweinydd. Mae gwneud y casgliad yn gweithio trwy wanhau dilysu tystysgrifau, neu trwy glytio cymhwysiad sy’n pinio ei dystysgrifau, yn masnachu rheolaeth ddiogelwch am linell log. Dewiswch ddyluniad arolygu dogfennedig y mae ei ddosbarthiad ymddiriedaeth eisoes yn cael ei reoli, a chadw allwedd breifat yr awdurdod allan o unrhyw beth a rennir.

Ar ddiwedd y ffenestr casglu, tynnwch y ffurfweddiad a’i ddeunydd ymddiriedaeth trwy eu perchnogion, a chael gwared ar dystiolaeth a gedwir o dan y polisi y cytunwyd arno. Digon o wybodaeth ddibynadwy at y pwrpas a nodwyd yw’r maen prawf llwyddiant, nid y daliad mwyaf posibl.