Qué puede y qué no puede demostrar un registro VPN sobre la navegación

Antes de elegir un recopilador de registros, decida qué hecho debe establecer la auditoría. Preguntar qué sesión VPN contactó con una dirección de destino es distinto de preguntar qué persona abrió una página concreta. Ambas exigen registros diferentes, uniones diferentes y niveles de confianza diferentes. Un registro de conexión de OpenVPN responde a la primera y no puede responder a la segunda.

Nombre el hecho antes de elegir un recopilador

Un registro de sesión muestra una identidad aceptada, una hora de inicio y de fin y una dirección que el servidor asignó según su propia política. El registro de un resolutor muestra que se consultó un nombre en ese resolutor. Un registro de flujo muestra direcciones, puertos, protocolo y hora, y un registro de aplicación muestra la transacción que esa aplicación atendió realmente. Ninguno de los cuatro sustituye a otro.

Cada uno de ellos establece un hecho y deja los demás abiertos. Escribir la pregunta primero le impide montar una historia que los datos no pueden sostener.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

El primer comando muestra eventos de sesión del diario del servicio. El segundo imprime la lista actual de clientes con las direcciones asignadas, que es la correspondencia de la que depende una unión de auditoría. El tercero muestra el estado de flujo en vivo, útil solo mientras la conexión aún existe.

Una consulta no es una visita

Un navegador resuelve nombres de forma especulativa, almacena en caché las respuestas y las reutiliza sin volver a preguntar al resolutor vigilado. Un nombre en el registro de un resolutor demuestra por tanto una consulta, no una visita. DNS sobre HTTPS amplía esa brecha, porque un navegador configurado para ello envía sus preguntas a un lugar donde su registrador habitual nunca las ve.

Las direcciones de destino no son mejores por sí solas. Una dirección puede alojar muchos sitios no relacionados, la DNS inversa es una conjetura y no una reconstrucción, y un nombre de host visible durante un intercambio TLS no es la ruta de la solicitud dentro de la sesión cifrada.

Para transacciones exactas necesita los registros de eventos propios de la aplicación o un diseño de proxy admitido explícitamente para el registro. Un túnel CONNECT da al proxy el destino y el volumen, no las rutas de página que hay dentro. El acceso administrativo a la red no es una licencia para sustituir en silencio el modelo de confianza de la aplicación.

Una identidad y tiempo antes de nombrar a una persona

Un registro de flujo con una dirección de origen interna no significa nada hasta que esa dirección se une a una sesión en el mismo momento. Las direcciones se reutilizan, y la misma dirección pudo pertenecer a otra sesión una hora antes. La asignación estática es una forma de mantener la asociación, no la única.

Las fronteras de traducción debilitan aún más la unión. Si varios dispositivos ya compartían una dirección de origen antes de su punto de observación, lo mejor que puede identificar es la sesión de puerta de enlace compartida y no un solo dispositivo. Un certificado o una cuenta usados por varias personas tienen el mismo efecto.

Registre las zonas horarias, las fuentes de reloj, los puntos de observación y cada salto de traducción. Los registros ausentes pueden significar que una entrada de flujo caducó, que se evitó un sensor o que un registro de aplicación estaba apagado. La ausencia no es prueba de que no ocurriera nada.

Después defina los campos mínimos, los lectores permitidos y el periodo de retención para el propósito declarado. La correlación y la atribución errónea son cuestiones de diseño y no una ocurrencia tardía, y los metadatos que identifican a personas merecen la misma protección que la correspondencia de identidad de la que dependen.

Pruebe la auditoría con actividad que usted controle

Genere tráfico permitido cuya sesión y aplicación ya conozca y compruebe después qué capturó realmente cada registro. Haga una consulta sin cargar la página, cargue una página desde la caché y abra una conexión a través de un proxy, y observe qué eventos aparecen.

Informe del hecho que las pruebas sostienen y diga qué no cubre. Un registro modesto con un alcance declarado supera la revisión; un historial de navegación ambicioso montado con conjeturas no la supera.