Πού εξαφανίζεται ένα όνομα χρήστη VPN από τη ροή καταγραφής;

Οι συνεδρίες εμφανίζονται στον πίνακα ελέγχου ενώ η στήλη του ονόματος χρήστη μένει κενή, και η πρώτη παρόρμηση είναι να κατηγορήσουμε τον αναλυτή. Αυτή η παρόρμηση παραλείπει τρία προγενέστερα στάδια όπου η τιμή μπορεί να χάθηκε. Μια πύλη μπορεί να αποκρύψει μια ταυτότητα βάσει πολιτικής, ένας κανόνας εισαγωγής μπορεί να τη διαγράψει πριν από την ευρετηρίαση, και μια εξαγωγή κατά την αναζήτηση μπορεί απλώς να μην την ονομάσει. Η διόρθωση εξαρτάται από το ποιο όριο μπορείτε να αποδείξετε ότι ευθύνεται, οπότε η χρήσιμη εργασία είναι η σύγκριση και όχι η διαμόρφωση.

Ξεκινήστε από ένα συμβάν, όχι από τον πίνακα ελέγχου

Επιλέξτε ένα μόνο συμβάν ελέγχου ταυτότητας και γράψτε τι το προσδιορίζει: το μοντέλο και την έκδοση της πύλης, τη μέθοδο ελέγχου ταυτότητας, το αναγνωριστικό του συμβάντος, τη χρονική σήμανση και τη διεύθυνση προέλευσης. Προσθέστε το όνομα χρήστη ακριβώς όπως το πληκτρολόγησε το άτομο, μαζί με τα πεζά και κεφαλαία, επειδή μια αναζήτηση ευαίσθητη σε πεζά και κεφαλαία μπορεί να κρύψει ένα πεδίο που υπάρχει. Θεωρήστε αυτό το συμβάν ως αναφορά για κάθε μεταγενέστερη σύγκριση.

Οι τύποι συμβάντων δεν μοιράζονται το ίδιο σχήμα. Μια αποτυχημένη απόπειρα, μια επιτυχής σύνδεση χωρίς πελάτη και μια επανασύνδεση σήραγγας μπορούν να παράγουν διαφορετικά πεδία, και μερικές πύλες παραλείπουν την ταυτότητα όταν η απόπειρα δεν έφτασε ποτέ στον έλεγχο ταυτότητας χρήστη. Μια κενή στήλη σε έναν τύπο συμβάντος είναι επομένως αδύναμη απόδειξη προβλήματος στη ροή.

Εργαστείτε με εγκεκριμένη δοκιμαστική ταυτότητα αντί για πραγματικό λογαριασμό εργαζομένου, και κρατήστε τη σύγκριση μέσα στους κανόνες πρόσβασης που ήδη διέπουν τα δεδομένα καταγραφής. Η ευρεία ενεργοποίηση λεπτομερούς καταγραφής ελέγχου ταυτότητας μόνο για ένα δείγμα αλλάζει το σύστημα που προσπαθείτε να μετρήσετε.

Συγκρίνετε τα τέσσερα όρια με τη σειρά

Η τιμή μπορεί να εξαφανιστεί σε ένα από τέσσερα σημεία. Κάθε σημείο έχει διαφορετικό υπεύθυνο και διαφορετική επισκευή.

Σταματήστε στο πρώτο όριο όπου η τιμή εξαφανίζεται. Μια ασυμφωνία ανάμεσα στην προβολή της συσκευής και στο ακατέργαστο αντίγραφο δείχνει μεταφορά ή διαμόρφωση συλλέκτη· μια συμφωνία εκεί αλλά μια τιμή που λείπει από το ευρετηριασμένο συμβάν δείχνει μετασχηματισμό· μια τιμή που υπάρχει στο ευρετηριασμένο συμβάν αλλά απουσιάζει από τον πίνακα ελέγχου δείχνει εξαγωγή ή το ερώτημα.

Αυτή η σειρά έχει σημασία επειδή κάθε επόμενο στάδιο μπορεί μόνο να χάσει πληροφορία, ποτέ να την αποκαταστήσει. Μια κανονική έκφραση δεν μπορεί να ανακτήσει μια συμβολοσειρά που ένα προγενέστερο στάδιο αντικατέστησε με σύμβολο κράτησης θέσης, και μια ρύθμιση ιδιωτικότητας δεν μπορεί να εξηγήσει μια τιμή που δεν στάλθηκε ποτέ.

Η απόκρυψη στην πηγή είναι πολιτική, όχι σφάλμα αναλυτή

Η τεκμηρίωση καταγραφής ASA της Cisco περιγράφει την απόκρυψη ονόματος χρήστη ως διαμορφώσιμη συμπεριφορά, συμπεριλαμβανομένου του τρόπου με τον οποίο αναπαριστώνται μη έγκυρα ή άγνωστα ονόματα χρηστών. Μια αποκρυμμένη ταυτότητα στο συμβάν προέλευσης μπορεί επομένως να είναι ακριβώς αυτό που απαιτεί η πολιτική ιδιωτικότητας, και η αντιμετώπισή της ως αποτυχία ανάλυσης οδηγεί σε αίτημα που αποδυναμώνει τον έλεγχο.

Η ακριβής αναπαράσταση εξαρτάται από την έκδοση και τον τύπο μηνύματος. Ένα συμβάν μπορεί να φέρει σύμβολο κράτησης θέσης, ένα άλλο μπορεί να παραλείψει εντελώς το πεδίο, και μια αποτυχία ελέγχου ταυτότητας μπορεί να μην περιλαμβάνει ποτέ όνομα. Ελέγξτε την τεκμηριωμένη συμπεριφορά για το συγκεκριμένο συμβάν αντί να εφαρμόζετε μια παλιά αναφορά σφάλματος σε κάθε ταυτότητα που λείπει.

Όταν η απόκρυψη είναι σκόπιμη, το ερώτημα αλλάζει από το πώς θα αποκατασταθεί το πεδίο στο αν η απαίτηση ελέγχου μπορεί να ικανοποιηθεί με άλλο τρόπο. Αναγνωριστικά συνεδρίας, μια ελεγχόμενη αντιστοίχιση ταυτοτήτων που κρατά μια μικρότερη ομάδα, ή μια στενότερη εξουσιοδοτημένη ροή συμβάντων συχνά καλύπτουν την ανάγκη χωρίς να εκθέτουν κάθε αποπειρώμενο όνομα χρήστη σε κάθε αναγνώστη καταγραφής.

Η ανωνυμοποίηση πριν από την ευρετηρίαση δεν αναιρείται

Η τεκμηρίωση του Splunk για την επεξεργασία συμβάντων περιγράφει ανωνυμοποίηση μέσω εκφράσεων sed και μετασχηματισμών που ξαναγράφουν ή αφαιρούν δεδομένα πριν από την ευρετηρίαση. Ακριβώς αυτή η θέση είναι το ζητούμενο: το ακατέργαστο συμβάν αλλάζει κατά την είσοδο, οπότε μια εξαγωγή κατά την αναζήτηση δεν έχει τίποτα να βρει.

Η απόκρυψη κατά την ευρετηρίαση και η εξαγωγή πεδίων κατά την αναζήτηση λύνουν διαφορετικά προβλήματα. Η απόκρυψη περιορίζει ποιος μπορεί να δει ποτέ την τιμή· η εξαγωγή αποφασίζει μόνο ποιο όνομα χρησιμοποιεί το ερώτημα. Η κατακερματοποίηση είναι μια ενδιάμεση επιλογή που διατηρεί τη συσχέτιση, αλλά ένα σταθερό κατακερματισμένο αποτύπωμα πάνω σε μικρό χώρο ονομάτων χρήστη εξακολουθεί να ταυτοποιεί όταν κάποιος μπορεί να δοκιμάσει υποψήφια ονόματα εναντίον του.

Αν το αποθηκευμένο συμβάν περιέχει ακόμη την ταυτότητα, το πρόβλημα είναι πιο κάτω: τύπος πηγής, σπάσιμο γραμμών, χειρισμός διαχωριστικών, ψευδώνυμα πεδίων ή το ίδιο το ερώτημα. Αυτές είναι συνήθεις επισκευές ανάλυσης και δεν αγγίζουν το όριο ιδιωτικότητας.

Επιλέξτε τη διόρθωση που ταιριάζει στο όριο

Τρεις συνθήκες καθορίζουν την απάντηση. Πρώτον, σκοπεύει η πολιτική ιδιωτικότητας να αποκλείσει την ταυτότητα; Δεύτερον, χρειάζεται η διαδικασία ελέγχου ή έρευνας την ταυτότητα, ένα ψευδώνυμο ή μόνο τη συνεδρία; Τρίτον, σε ποιο όριο χρειάζεται η τιμή — συλλογή, αποθήκευση ή παρουσίαση;

Αν η πολιτική σκοπεύει αποκλεισμό, αλλάξτε την απαίτηση ή την παρουσίαση, όχι τον έλεγχο. Αν η πολιτική επιτρέπει την ταυτότητα αλλά η συλλογή τη χάνει, διορθώστε τον συλλέκτη και επιβεβαιώστε το ακατέργαστο συμβάν. Αν η αποθήκευση είναι ακέραιη, διορθώστε την εξαγωγή και δοκιμάστε την με το εγκεκριμένο συμβάν που καταγράψατε στην αρχή.

Κλείστε την έρευνα ονομάζοντας το όριο στο αρχείο αλλαγών: αποκρυμμένη στην πηγή, αφαιρεμένη κατά την εισαγωγή ή χαμένη από την εξαγωγή. Αυτή η μία πρόταση λέει στον επόμενο μηχανικό πού να κοιτάξει πρώτα, και εμποδίζει ένα παράπονο για τον πίνακα ελέγχου να μετατραπεί σε μια λειτουργία ιδιωτικότητας που απενεργοποιήθηκε σιωπηλά.