Kas VPN-i logi näitab brauseri ajalugu? Mida tõendid tõestavad
Sessioonilog, resolveri päring ja voo kirje tõestavad erinevaid asju. Valige küsimus, siduge identiteet ja aeg ning öelge ainult see, mida näidati.
Kaks auditi küsimust kõlavad sarnaselt ja nõuavad eri liiki tõendeid. Sellele, milline sessioon selle aadressiga ühendust võttis, saab vastata ühenduste ja voogude kirjetest. Sellele, milline inimene selle lehe avas, tavaliselt mitte, vähemalt mitte nendest kirjetest. Koguja valimine enne küsimuse valimist on viis, kuidas võrgumeeskond jõuab hostinime esitamiseni brauseri ajaloona.
Alustage sündmusest, mille peab audit tuvastama
Kirjutage küsimus lausena, millel on alus, öeldis ja aeg. Ainuüksi see distsipliin paljastab lõhe sessioonikirje ja lehevaatamise vahel. Sessioonilog tuvastab, et identiteet võeti vastu teatud ajavahemikuks, määratud aadressiga kirja pandud poliitika alusel, ja see ei saa tuvastada, millist lehte keegi luges, sest see ei näinud kunagi päringut.
Nimetage vaatlus enne kogumise kavandamist. Väli, mis on nime saanud külastatud saidi järgi, kuid salvestab tegelikult lahendatud nime, on tulevane viga, mitte mugavus. Väljade nimed elavad kauem kui inimesed, kes need valisid, seega valige nimed, mis kirjeldavad tõendit, mitte järeldust.
Mida iga kirje suudab ja ei suuda toetada
Peaaegu igas auditi kavandis esineb nelja tüüpi kirjeid ja igaüks vastab erinevale küsimusele. Hoidke need eraldi nii aruandes kui ka töövoos, sest nende segamine muudab kaitstava järelduse piinlikuks.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Lugege viimast veergu sama hoolikalt kui keskmist. Voo kirje kirjeldab aadresse ja porte ning aadressi pöördotsing ei taasta nime, mida brauser kasutas, sest üks aadress võib hostida palju omavahel mitteseotud saite. Resolveri päring tõestab, et küsimus esitati, mitte et leht kuvati. Ka TLS-i läbirääkimiste ajal nähtav hostinimi ei ole krüpteeritud päringu tee.
Kõik need on tõelised vaatlused ja ükski neist ei ole vaatlus, mida inimesed eeldavad. Brauser, mis nõuab oma krüpteeritud resolverit, asub jälgitud ulatusest väljas ja analüüs ei saa taastada seda, mida logi kunagi ei näinud. See lõhe kuulub aruandesse deklareeritud piirina, mitte joonealuse märkusena.
Ennetavad päringud ja vahemällu salvestatud vastused
Brauserid lahendavad nimesid ette, mõnikord ilma midagi laadimata. Nad vastavad ka vahemälust, saatmata uut päringut resolverile, mida te jälgite, mis tähendab, et päringu puudumine ei ole külastuse puudumine. Mõlemad käitumised lõhuvad naiivse võrrandi DNS-i logi ja brauseri ajaloo vahel.
DNS üle HTTPS-i lisab teise piiri: brauser või külalisrakendus oma resolveriga ei küsi organisatsiooni logijalt kunagi midagi. Täpsed tehingud tulevad ainult rakenduse enda sündmustest või puhverserverist, mille logimist te selgesõnaliselt toetate. Tavaline HTTPS CONNECT tunnel jätab puhverserveri ilma igasuguse vaateta sees olevatele leheteedele. Võrgu omamine ei ole luba rakenduse usaldusmudelit vaikselt välja vahetada.
Aadress kuulub sessioonile, mitte inimesele
Tunnelivahemiku aadressiga voo kirje on lähtepunkt, mitte vastus. Siduge see aadress ja ajatempel tol hetkel aktiivse sessiooni määramisega, sest selle aadressi võib tund hiljem määrata teisele sessioonile. Staatiline adresseerimine on üks viis selle seose hoidmiseks ja mitte ainus.
Kui tõlkeetapp surub mitu seadet üheks lähteaadressiks sensorist ülesvoolu, saab sidumine nimetada ainult ühise lüüsi sessiooni. Jagatud konto või mitme inimese kasutatav sertifikaat piirab omistamist, ükskõik kui täielikud võrgandmed välja näevad. Mõlemad kuuluvad aruandesse piiridena, mitte hilisemate mööndustena.
Registreerige ajavöönd, kella allikas, vaatluspunkt ja iga tõlkepiir nende vahel. Puudumine väärib sama hoolt kui kohalolu, sest puuduv kirje võib tähendada, et voo kanne aegus, sensor ei näinud paketti kunagi või rakenduse logi lülitati välja.
Projekteerige deklareeritud eesmärgi jaoks ja tõestage siis töövoog
Kui küsimus on fikseeritud, määratlege, milliseid välju on vaja, kes tohib neid lugeda ja kui kaua neid hoitakse. Rohkem kogumine, sest salvestus on odav, loob vastutuse, mis elab uurimisest kauem. Privaatsusmudel RFC 6973-s käsitleb korrelatsiooni, vale omistamist ja tarbetut kogumist projekteerimisprobleemidena, mitte järelmõtetena.
Kaitske vastendust ja kirjeid ühe objektina, sest kumbki üksi on paarist palju vähem tundlik. Seejärel valideerige kavand tegevuse vastu, mida teil on lubatud genereerida ja mida te juba mõistate, kasutades väikseimat päringut, millele aruanne toetub. Töövoog, mis ei suuda korrata teadaolevat sündmust, ei korrata ka tundmatut. Raporteerige sündmus, mida tõendid toetavad, sõnadega, mida tõendid lubavad, ja laske lugejal ise suurema järelduseni jõuda.
Kirjutage piirid järelduse kõrvale: mis ühendati, mis tõlgiti ja milline logi jäi vaikseks. Järeldus, mis nimetab oma piirid, peab vastu ülevaatusele, millele enesekindel kokkuvõte ei pea. See on erinevus tõendi ja tõendist jutustatud loo vahel.