HTTP-tõendite valimine: lüüsi logid või rakenduse logid

Veebiseire algab eesmärgist, mitte püüdmispunktist. Aktiivsete klientide loendamine, API-kutse ajastamine ja sõnumikehade lugemine nõuavad igaüks erinevaid tõendeid ja erinevaid privaatsusotsuseid. Lüüs, mis edastab kaitstud HTTPS-i, näeb ühendusi, mitte lehe sisu. Vale kihi valimine annab andmeid, mis näivad rikkalikena ega vasta millelegi.

Nimeta küsimus enne andmeallikat

Alusta tegevusotsusest, mida andmed peavad toetama. Olemasoluküsimused vajavad loendusi ja aegu, päringuküsimused vajavad radu ja olekukoode ning sisuküsimused vajavad sõnumikehi. Iga samm sissepoole lisab tundlikkust ja insener-tehnilist keerukust. Lase teenuse omanikul ja turvalisuse omanikul kinnitada publik, eesmärk ja käsitlemine enne kogumise algust, sest tunnelit käitada ei ole see otsus.

Kirjuta küsimus ühte lausesse ja hoia seda kogumisplaani kõrval. See on ainus usaldusväärne ulatuse kontroll.

Mida lüüs saab ja mida ei saa näidata

Lüüs, mis edastab õigesti kaitstud HTTPS-i, näeb tavaliselt aadresse, porte ja mahtusid, mitte päringuridu või kehi.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

conntrack-nimekiri näitab vooge ja tõlkeid ning lühike püüdmine näitab pakette ilma loetava rakendusesisuta. Sellest piisab vastamaks, kas liiklus voolab, kui palju ja milliste otspunktide vahel. See ei ole URL-ide nimekiri ja tavaline CONNECT-proxy edastab krüpteeritud vahetuse ilma rakenduse TLS-i lõpetamata. Kui keegi lubab sellelt positsioonilt päringute radu, küsi, milline komponent dekrüpteerib ja kelle usalduse all.

Rakenduse logid vastavad enamikule päringuküsimustest

Rakenduse puhul, mida käitad, vastab selle enda toetatud logimine tavaliselt päringutasandi küsimusele teiste ühendusi dekrüpteerimata.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Tervisekontroll mõõdab olemasolu kliendi positsioonilt ja juurdepääsulogi märgib väljad, mille server oli juba hoidmiseks valinud. Vali väljad, mida ülesanne vajab, ja jäta ülejäänu välja, sest isegi URL võib kanda tundlikke parameetreid. Logirida on tõend selle teenuse kohta, mitte iga teise teenuse kohta, milleni kasutaja tunnelit mööda jõudis. Kitsas kogumine hoiab väiksena ka säilitamise küsimuse, seega sea aken lühemaks kui mõtteeksperiment, mis nõude tekitas.

Vaheltlõikamine on eraldi usalduskavand

Kui sõnumitasandi inspekteerimine on tõeliselt vajalik, loob TLS-i vaheltlõikamine uue usaldusväärse otspunkti ja kliendi usalduskorralduse, mida tuleb jaotada ja hooldada. Rakendused, mis kinnitavad sertifikaate, lähevad katki ja operaator hoiab nüüd privaatvõtmeid, mille kaitse loeb sama palju kui iga serverivõti. Kogumise tööle panemine sertifikaatide valideerimise nõrgendamise või sertifikaate kinnitava rakenduse lappimise teel vahetab turvakontrolli logirea vastu. Eelista dokumenteeritud inspekteerimiskavandit, mille usaldusjaotus on juba hallatud, ja hoia asutuse privaatvõti kõigest jagatust eemal.

Kogumisakna lõpus eemalda konfiguratsioon ja selle usaldusmaterjal nende omanike kaudu ning kõrvalda säilitatud tõendid kokkulepitud poliitika järgi. Piisavalt usaldusväärset teavet märgitud eesmärgi jaoks on edu kriteerium, mitte suurim võimalik püüdmine.