Kann ein VPN-Log den Browserverlauf zeigen? Was die Belege beweisen
Ein Sitzungsprotokoll, eine Resolver-Abfrage und ein Flow-Datensatz beweisen unterschiedliche Dinge. Wählen Sie die Frage, verbinden Sie Identität und Zeit, und nennen Sie dann nur das, was gezeigt wurde.
Zwei Prüfungsfragen klingen ähnlich und verlangen Belege unterschiedlicher Art. Welche Sitzung diese Adresse kontaktiert hat, lässt sich aus Verbindungs- und Flow-Datensätzen beantworten. Welche Person diese Seite geöffnet hat, meist nicht, jedenfalls nicht aus diesen Datensätzen. Einen Sammler zu wählen, bevor die Frage gewählt ist, führt dazu, dass ein Netzwerkteam einen Hostnamen als Browserverlauf präsentiert.
Beginnen Sie mit dem Ereignis, das die Prüfung belegen muss
Schreiben Sie die Frage als Satz mit Subjekt, Verb und Zeit. Allein diese Disziplin legt die Lücke zwischen einem Sitzungsdatensatz und einem Seitenaufruf offen. Ein Sitzungsprotokoll belegt, dass eine Identität für ein Intervall mit einer zugewiesenen Adresse unter einer protokollierten Richtlinie akzeptiert wurde, und es kann nicht belegen, welche Seite jemand gelesen hat, weil es die Anfrage nie gesehen hat.
Benennen Sie die Beobachtung, bevor Sie die Erfassung entwerfen. Ein Feld, das nach einer besuchten Website benannt ist und tatsächlich einen aufgelösten Namen speichert, ist ein künftiger Fehler statt einer Erleichterung. Feldnamen überleben die Menschen, die sie gewählt haben, wählen Sie also solche, die den Beleg beschreiben und nicht die Schlussfolgerung.
Was jeder Datensatz stützen kann und was nicht
Vier Datensatztypen erscheinen in fast jedem Prüfungsdesign, und jeder beantwortet eine andere Frage. Halten Sie sie im Bericht wie in der Pipeline getrennt, denn ihre Vermischung macht aus einem belastbaren Befund einen peinlichen.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Lesen Sie die letzte Spalte so sorgfältig wie die mittlere. Ein Flow-Datensatz beschreibt Adressen und Ports, und eine Rückwärtssuche einer Adresse rekonstruiert nicht den Namen, den ein Browser verwendet hat, weil eine Adresse viele unzusammenhängende Websites beherbergen kann. Eine Resolver-Abfrage belegt, dass eine Frage gestellt wurde, nicht dass eine Seite angezeigt wurde. Ein bei einer TLS-Aushandlung sichtbarer Hostname ist ebenso wenig der verschlüsselte Anforderungspfad.
Jede davon ist eine echte Beobachtung, und keine ist die Beobachtung, die Menschen annehmen. Ein Browser, der auf seinem eigenen verschlüsselten Resolver besteht, liegt außerhalb des überwachten Bereichs, und eine Analyse kann nicht zurückholen, was die Protokollierung nie gesehen hat. Diese Lücke gehört als ausdrückliche Grenze in den Bericht und nicht als Fußnote.
Vorausschauende Abfragen und zwischengespeicherte Antworten
Browser lösen Namen im Voraus auf, manchmal ohne überhaupt etwas zu laden. Sie antworten auch aus dem Cache, ohne eine neue Abfrage an den Resolver zu senden, den Sie beobachten, was bedeutet, dass das Fehlen einer Abfrage nicht das Fehlen eines Besuchs ist. Beide Verhaltensweisen brechen die naive Gleichung zwischen einem DNS-Log und einem Browserverlauf.
DNS über HTTPS fügt eine zweite Grenze hinzu: Ein Browser oder eine Gastanwendung mit eigenem Resolver fragt den Logger der Organisation nie etwas. Genaue Transaktionen kommen nur aus den Ereignissen der Anwendung selbst oder von einem Proxy, dessen Protokollierung Sie ausdrücklich unterstützen. Ein einfacher HTTPS-CONNECT-Tunnel lässt dem Proxy keinen Einblick in die Seitenpfade darin. Das Netzwerk zu besitzen ist keine Erlaubnis, das Vertrauensmodell der Anwendung stillschweigend auszutauschen.
Die Adresse gehört zu einer Sitzung, nicht zu einer Person
Ein Flow-Datensatz mit einer Adresse aus dem Tunnelbereich ist ein Ausgangspunkt statt einer Antwort. Verbinden Sie diese Adresse und den Zeitstempel mit der zu diesem Zeitpunkt aktiven Sitzungszuweisung, denn diese Adresse kann eine Stunde später einer anderen Sitzung zugewiesen werden. Statische Adressierung ist ein Weg, diese Zuordnung zu erhalten, und nicht der einzige.
Wo ein Übersetzungsschritt mehrere Geräte zu einer Quelladresse oberhalb des Sensors zusammenfasst, kann die Verknüpfung nur die gemeinsame Gateway-Sitzung benennen. Ein geteiltes Konto oder ein von mehreren Personen verwendetes Zertifikat begrenzt die Zuordnung, so vollständig die Netzwerkdaten auch aussehen mögen. Beides gehört als Grenze in den Bericht und nicht als Vorbehalt für später.
Halten Sie Zeitzone, Uhrquelle, Beobachtungspunkt und jede Übersetzungsgrenze dazwischen fest. Abwesenheit verdient dieselbe Sorgfalt wie Anwesenheit, denn ein fehlender Datensatz kann bedeuten, dass ein Flow-Eintrag gealtert ist, ein Sensor das Paket nie gesehen hat oder ein Anwendungslog abgeschaltet war.
Für den erklärten Zweck entwerfen, dann die Pipeline belegen
Sobald die Frage feststeht, definieren Sie, welche Felder nötig sind, wer sie lesen darf und wie lange sie aufbewahrt werden. Mehr zu erfassen, weil Speicher billig ist, schafft eine Haftung, die die Untersuchung überdauert. Das Datenschutzmodell in RFC 6973 rahmt Korrelation, Fehlzuordnung und unnötige Erfassung als Entwurfsprobleme und nicht als Nachgedanken.
Schützen Sie die Zuordnung und die Datensätze als ein Objekt, denn jedes allein ist weit weniger sensibel als das Paar. Prüfen Sie dann das Design gegen Aktivität, die Sie erzeugen dürfen und bereits verstehen, mit der kleinsten Abfrage, auf die sich der Bericht stützen wird. Eine Pipeline, die ein bekanntes Ereignis nicht reproduzieren kann, wird auch ein unbekanntes nicht reproduzieren. Berichten Sie das Ereignis, das die Belege stützen, in den Worten, die die Belege zulassen, und lassen Sie die Leserschaft die größere Schlussfolgerung selbst ziehen.
Schreiben Sie die Grenzen neben den Befund: was verknüpft, was übersetzt wurde und welches Log stumm blieb. Ein Befund, der seine eigenen Grenzen nennt, übersteht eine Prüfung, die eine selbstsichere Zusammenfassung nicht übersteht. Das ist der Unterschied zwischen einem Beleg und einer Geschichte über einen Beleg.