Mida VPN-i logi saab ja ei saa sirvimise kohta tõestada

Enne logikoguja valimist otsustage, millise sündmuse peab audit tuvastama. Küsimus, milline VPN-i sessioon võttis ühendust sihtkoha aadressiga, erineb küsimusest, milline inimene avas konkreetse lehe. Mõlemad nõuavad erinevaid kirjeid, erinevaid ühendusi ja erinevat kindlust. OpenVPN ühenduse logi vastab esimesele ega saa vastata teisele.

Nimetage sündmus enne koguja valimist

Sessioonikirje näitab vastuvõetud identiteeti, algus- ja lõpuaega ning aadressi, mille server määras oma poliitika järgi. Resolveri logi näitab, et nime päriti selles resolveris. Vookirje näitab aadresse, porte, protokolli ja aega ning rakenduse logi näitab tehingut, mida see rakendus tegelikult käsitles. Ükski neist neljast ei asenda teist.

Igaüks neist tuvastab ühe sündmuse ja jätab teised lahtiseks. Küsimuse enne kirjapanek takistab teil koostada lugu, mida andmed ei toeta.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Esimene käsk näitab sessioonisündmusi teenuse logist. Teine trükib praeguse kliendiloendi koos määratud aadressidega, millest sõltub auditi ühendus. Kolmas näitab reaalajas voo olekut, mis on kasulik ainult seni, kuni ühendus veel olemas on.

Päring ei ole külastus

Brauser lahendab nimesid spekulatiivselt, salvestab vastuseid vahemällu ja kasutab neid uuesti, ilma et küsiks jälgitavalt resolverilt uuesti. Seega tõestab resolveri logis olev nimi päringut, mitte külastust. DNS üle HTTPS-i suurendab seda lünka, sest selleks seadistatud brauser saadab oma küsimused sinna, kuhu teie tavaline logija neid kunagi ei näe.

Sihtkoha aadressid ei ole iseenesest paremad. Üks aadress võib majutada palju mitteseotud saite, pöörd-DNS on oletus, mitte rekonstruktsioon, ja TLS-i käepigistuse ajal nähtav hostinimi ei ole krüpteeritud sessiooni sees olev päringutee.

Täpsete tehingute jaoks vajate rakenduse enda sündmusekirjeid või puhverserveri lahendust, mis on logimiseks selgesõnaliselt toetatud. CONNECT-tunnel annab puhverserverile sihtkoha ja mahu, mitte selle sees olevad leheteed. Administratiivne juurdepääs võrgule ei ole litsents rakenduse usaldusmudeli vaikseks asendamiseks.

Ühendage identiteet ja aeg enne, kui nimetate isikut

Sisemise lähteaadressiga vookirje ei tähenda midagi enne, kui see aadress on samal ajal sessiooniga ühendatud. Aadresse kasutatakse uuesti ja sama aadress võis tund varem kuuluda teisele sessioonile. Staatiline määramine on üks viis seost hoida, mitte ainus.

Tõlke piirid nõrgendavad ühendust veelgi. Kui mitu seadet jagasid juba üht lähteaadressi enne teie vaatluspunkti, on parim, mida saate tuvastada, ühine lüüsi sessioon, mitte üksik seade. Mitme inimese kasutataval sertifikaadil või kontol on sama mõju.

Kirjutage üles ajavööndid, kella allikad, vaatluspunktid ja iga tõlkekäik. Puuduvad kirjed võivad tähendada, et vookirje aegus, sensorist mindi mööda või rakenduse logi oli välja lülitatud. Puudumine ei ole tõestus, et midagi ei juhtunud.

Seejärel määrake minimaalsed väljad, lubatud lugejad ja säilitusaeg deklareeritud otstarbe jaoks. Korrelatsioon ja vale omistamine on disaini, mitte järelmõtte küsimused, ja inimesi tuvastavad metaandmed väärivad sama kaitset kui identiteedikaardistus, millest need sõltuvad.

Testige auditi tegevusega, mida ise kontrollite

Looge lubatud liiklust, mille sessiooni ja rakendust te juba teate, seejärel kontrollige, mida iga kirje tegelikult tabas. Tehke päring lehte laadimata, laadige leht vahemälust ja avage ühendus puhverserveri kaudu ning vaadake, millised sündmused ilmuvad.

Teatage sündmus, mida tõendid toetavad, ja öelge, mida need ei kata. Tagasihoidlik deklareeritud ulatusega kirje peab ülevaatusele vastu; oletustest kokku pandud ambitsioonikas sirvimisajalugu ei pea.