Opbevaring af VPN-logfiler: bind den til hændelsen, ikke til et tal
Opbevaring følger hændelsen, indholdet og politikken, ikke en universel frist. Find hver kopi, stop omfattende indsamling, og før en kort registrering.
Ingen spørger egentlig, hvor længe en VPN-log skal gemmes; de spørger, hvad loggen er til, og svaret på det fastsætter datoen. To filer kan komme ud af én hændelse med forskellige levetider, og når de behandles som én politik, giver det både for lang opbevaring og tabte beviser. En fejlretningseksport fanget, mens årsagen var ukendt, er ikke det samme artefakt som en linje i et overvågningslager. Start med formålet, og vælg så datoen.
Besvar fire spørgsmål, før du vælger en dato
Fire spørgsmål afgør, om en fil bliver: er hændelsen stadig åben, hvad indeholder filen, hvem skal læse den, og hvad kræver den gældende politik. Besvar dem i den rækkefølge, og opbevaringsdatoen følger. Ræsonnementet passer i en tabel:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Mens hændelsen er åben, skal du beholde én beskyttet original, så du senere kan sammenligne hændelser eller besvare et supportspørgsmål, og give den en ejer og et formål på skrift. For alle uden for responsholdet er et kort redigeret uddrag normalt nok, og det er langt lettere at forsvare end den fulde eksport. Originalen og uddraget er separate artefakter med separate modtagere, og det er sammensmeltningen af dem, der skaber både for lang opbevaring og tabte beviser. Politikken sætter en bund, så hvis den kræver længere tid end dit ræsonnement, vinder politikken.
Afslut hændelsen med en registrering, ikke en eksport
Skriv en registrering på fire linjer i sagen: symptomet, klienten og versionen, den ene fejllinje, der identificerede det, og rettelsen. Vedhæft intet andet, for eksporten var til dig, og registreringen er til den næste person.
Registreringen er også mere tilbøjelig til at blive læst: den fulde eksport tjener mest den, der fangede den, og den person ved allerede, hvad der skete. Opbevar registreringen, hvor den næste hændelse vil blive søgt efter, hvilket normalt betyder sagen frem for en mappe opkaldt efter en dato. Et sagsnummer kan bære referencen, hvis registreringen skal kunne spores uden at afsløre en forbindelsesidentifikator. Hvis et spørgsmål stadig er åbent, forbliver originalen under reglen om beskyttet kopi ovenfor; når registreringen findes, kan alt andet gå.
Find hver kopi, før du sletter en
Se i eksportmappen, derefter i journalen for hændelsesvinduet, derefter i sagens vedhæftede filer, derefter i backupkataloget, derefter i overvågningslageret. Hvis den samme forbindelsesidentifikator dukker op på et femte sted, var fortegnelsen forkert. Journalen er den sædvanlige overraskelse, fordi den blev ved med at indsamle, mens du læste eksporten.
Brug den understøttede rotations- og sletningsvej i stedet for at afkoble filer manuelt. En fil, der stadig er åben, beholder sin lagerplads, efter at mappeposten forsvinder, så sletningen ser fuldstændig ud og frigør intet. Det er en lagerfejl med et privatlivsmærkat, og den opfylder ingen af de to mål.
Stop indsamlingen, før du verificerer sletningen
Stop den midlertidige omfattende indsamling gennem det program, der ejer den, ikke ved at redigere dets outputfil. En glemt fejlretningsindstilling bliver ved med at skrive nye registreringer, efter de gamle er fjernet, hvilket stille gør arbejdet, du netop har udført, ugjort. Kontroller det effektive logningsniveau i stedet for den værdi, du husker at have sat. Bekræft derefter, at det, der er tilbage, er beskyttet, og at kun de tilsigtede personer kan hente det.
Princippet er dataminimering: behold det, et angivet formål kræver, så længe det har brug for det, og intet mere, som privatlivsvejledningen RFC 6973 formulerer det. En fil, der opbevares uden et formål, er en forpligtelse med et tidsstempel. Beslutningen er færdig, når du kan navngive filen, dens formål, dens ejer og dens slutdato.