Ble mae enw defnyddiwr VPN yn diflannu o biblinell y logiau?

Mae sesiynau’n ymddangos ar y dangosfwrdd tra bo’r golofn enw defnyddiwr yn aros yn wag, a’r reddf gyntaf yw beio’r parsydd. Mae’r reddf honno’n hepgor tri cham cynharach lle gallai’r gwerth fod wedi cael ei golli. Gall porth guddio hunaniaeth yn ôl polisi, gall rheol fewnforio ei dileu cyn mynegeio, a gall echdyniad adeg chwilio fethu â’i henwi. Mae’r cywiriad yn dibynnu ar ba ffin y gallwch brofi sy’n gyfrifol, felly’r gwaith defnyddiol yw cymharu yn hytrach na chyflunio.

Dechreuwch o un digwyddiad, nid o’r dangosfwrdd

Dewiswch un digwyddiad dilysu a nodwch beth sy’n ei adnabod: model a rhyddhad y porth, y dull dilysu, dynodydd y digwyddiad, y stamp amser a’r cyfeiriad ffynhonnell. Ychwanegwch yr enw defnyddiwr yn union fel y gwnaeth y person ei deipio, gan gynnwys priflythrennau, oherwydd gall chwiliad sy’n sensitif i briflythrennau guddio maes sydd yno. Triniwch y digwyddiad hwnnw fel cyfeiriad ar gyfer pob cymhariaeth ddiweddarach.

Nid yw’r mathau o ddigwyddiadau’n rhannu’r un sgema. Gall ymgais aflwyddiannus, mewngofnodi llwyddiannus heb gleient ac ailgysylltiad twmffordd gynhyrchu meysydd gwahanol, ac mae rhai pyrth yn hepgor yr hunaniaeth pan nad oedd yr ymgais wedi cyrraedd dilysu defnyddiwr. Mae colofn wag ar un math o ddigwyddiad felly’n dystiolaeth wan o broblem biblinell.

Gweithiwch gyda hunaniaeth prawf a gymeradwywyd yn hytrach na chyfrif gweithiwr go iawn, a chadwch y gymhariaeth o fewn y rheolau mynediad sy’n rheoli data’r logiau eisoes. Mae galluogi logio dilysu manwl yn eang dim ond i gael sampl yn newid y system rydych chi’n ceisio’i mesur.

Cymharwch y pedair ffin yn eu trefn

Gall y gwerth ddiflannu ar un o bedwar pwynt. Mae gan bob pwynt berchennog gwahanol a thrwsio gwahanol.

Stopiwch ar y ffin gyntaf lle mae’r gwerth yn diflannu. Mae anghytundeb rhwng gwedd y ddyfais a’r copi crai yn cyfeirio at gludiant neu gyfluniad y casglwr; cytundeb yno ond gwerth ar goll yn y digwyddiad mynegeiedig yn cyfeirio at drawsffurfiad; gwerth sy’n bresennol yn y digwyddiad mynegeiedig ond yn absennol o’r dangosfwrdd yn cyfeirio at echdynnu neu’r ymholiad.

Mae’r drefn hon yn bwysig oherwydd dim ond colli gwybodaeth y gall pob cam diweddarach ei wneud, byth ei hadfer. Ni all mynegiad rheolaidd adennill llinyn a ddisodlwyd gan gam cynharach â deilydd lle, ac ni all gosodiad preifatrwydd egluro gwerth na chafodd ei anfon erioed.

Mae cuddio wrth y ffynhonnell yn bolisi, nid yn fyg parsydd

Mae dogfennaeth logio ASA Cisco yn disgrifio cuddio enw defnyddiwr fel ymddygiad y gellir ei gyflunio, gan gynnwys sut mae enwau defnyddwyr annilys neu anhysbys yn cael eu cynrychioli. Felly gall hunaniaeth wedi’i chuddio yn nigwyddiad y ffynhonnell fod yn union yr hyn y mae’r polisi preifatrwydd yn ei ofyn, ac mae ei thrin fel methiant dosrannu yn arwain at gais sy’n gwanhau’r rheol.

Mae’r gynrychiolaeth union yn dibynnu ar y rhyddhad a’r math o neges. Gall un digwyddiad gario deilydd lle, gall un arall hepgor y maes yn gyfan gwbl, ac efallai na fydd methiant dilysu byth yn cynnwys enw. Gwiriwch yr ymddygiad a ddogfennwyd ar gyfer y digwyddiad penodol yn hytrach na chymhwyso adroddiad byg hanesyddol i bob hunaniaeth sydd ar goll.

Pan fo cuddio’n fwriadol, mae’r cwestiwn yn newid o sut i adfer y maes i ba un a ellir bodloni’r gofyniad archwilio mewn ffordd arall. Mae dynodyddion sesiwn, mapio hunaniaeth rheoledig a gedwir gan grŵp llai, neu ffrwd digwyddiadau awdurdodedig gulach yn aml yn diwallu’r angen heb osod pob enw defnyddiwr a geisiwyd o flaen pob darllenydd logiau.

Ni ellir dad-wneud anhysbysu cyn mynegeio

Mae dogfennaeth Splunk ar brosesu digwyddiadau yn disgrifio anhysbysu drwy fynegiadau sed a thrawsffurfiadau sy’n ailysgrifennu neu’n dileu data cyn ei fynegeio. Dyna’r pwynt am y lleoliad: mae’r digwyddiad crai yn cael ei newid wrth ddod i mewn, felly nid oes gan echdyniad adeg chwilio unrhyw beth ar ôl i’w ganfod.

Mae golygu adeg mynegeio ac echdynnu meysydd adeg chwilio yn datrys problemau gwahanol. Mae golygu’n cyfyngu pwy bynnag a all weld y gwerth; dim ond penderfynu pa enw y mae’r ymholiad yn ei ddefnyddio y mae echdynnu’n ei wneud. Mae hasio’n opsiwn canol sy’n cadw cydberthynas, ond mae hash sefydlog dros ofod enwau defnyddiwr bach yn dal i adnabod pan all rhywun brofi enwau ymgeisiol yn ei erbyn.

Os yw’r digwyddiad a storiwyd yn dal i gynnwys yr hunaniaeth, mae’r broblem i lawr yr afon: math ffynhonnell, torri llinellau, trin gwahanwyr, aliasau meysydd neu’r ymholiad ei hun. Trwsio dosrannu cyffredin yw’r rhain ac nid ydynt yn cyffwrdd â ffin y preifatrwydd.

Dewiswch y trwsio sy’n cyfateb i’r ffin

Mae tri amod yn penderfynu’r ymateb. Yn gyntaf, a yw’r polisi preifatrwydd yn bwriadu eithrio’r hunaniaeth? Yn ail, a oes angen yr hunaniaeth, ffugenw, neu ddim ond y sesiwn ar y broses archwilio neu ymchwilio? Yn drydydd, ar ba ffin y mae angen y gwerth — casglu, storio neu gyflwyno?

Os yw’r polisi’n bwriadu eithrio, newidiwch y gofyniad neu’r cyflwyniad, nid y rheol. Os yw’r polisi’n caniatáu’r hunaniaeth ond mae casglu’n ei gollwng, trwsiwch y casglwr a chadarnhau’r digwyddiad crai. Os yw’r storio’n gyfan, trwsiwch yr echdyniad a’i brofi yn erbyn y digwyddiad cymeradwy a gawsoch ar y dechrau.

Caewch yr ymchwiliad drwy enwi’r ffin yn y cofnod newid: wedi’i chuddio wrth y ffynhonnell, wedi’i dileu yn ystod mewngludo, neu wedi’i cholli gan echdynnu. Mae’r frawddeg honno’n dweud wrth y peiriannydd nesaf ble i edrych gyntaf, ac mae’n cadw cwyn dangosfwrdd rhag troi’n nodwedd preifatrwydd a ddiffoddwyd yn dawel.