Kuhu kaob VPN-i kasutajanimi logide konveierilt?
Enne logide privaatsussätte muutmist võrrelge lüüsi sündmust, koguja töötlemata koopiat, indekseeritud sündmust ja otsinguajast välja.
Seansid ilmuvad juhtpaneelile, samal ajal kui kasutajanime veerg jääb tühjaks, ja esimene impulss on süüdistada parserit. See impulss jätab vahele kolm varasemat etappi, kus väärtus võis kaduda. Lüüs võib identiteedi poliitika järgi maskeerida, vastuvõtureegel võib selle enne indekseerimist kustutada ja otsinguajane väljavõte võib lihtsalt jätta selle nimetamata. Parandus sõltub sellest, millist piiri suudate tõestada vastutavana, seega on kasulik töö võrdlemine, mitte konfigureerimine.
Alustage ühest sündmusest, mitte juhtpaneelist
Valige üks autentimissündmus ja kirjutage üles, mis seda identifitseerib: lüüsi mudel ja versioon, autentimismeetod, sündmuse identifikaator, ajatempel ja lähteaadress. Lisage kasutajanimi täpselt nii, nagu inimene selle sisestas, sealhulgas suur- ja väiketähed, sest suurtähetundlik otsing võib peita välja, mis on olemas. Käsitlege seda sündmust viitena igale hilisemale võrdlusele.
Sündmustüübid ei jaga üht skeemi. Ebaõnnestunud katse, edukas kliendita sisselogimine ja tunnelühenduse taastamine võivad anda erinevaid välju ning mõned lüüsid jätavad identiteedi välja, kui katse ei jõudnud kasutaja autentimiseni. Tühi veerg ühe sündmustüübi puhul on seega nõrk tõend konveieri probleemi kohta.
Töötage kinnitatud testidentiteediga, mitte päris töötaja kontoga, ja hoidke võrdlus logiandmetele juba kehtivate juurdepääsureeglite piires. Üksikasjaliku autentimislogimise laialdane sisselülitamine ainult proovi saamiseks muudab süsteemi, mida proovite mõõta.
Võrrelge nelja piiri järjekorras
Väärtus võib kaduda ühes neljast punktist. Igal punktil on erinev omanik ja erinev parandus.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Peatuge esimesel piiril, kus väärtus kaob. Seadme vaate ja töötlemata koopia lahknevus viitab transpordile või koguja konfiguratsioonile; sealne kattuvus, kuid puuduv väärtus indekseeritud sündmuses viitab teisendusele; indekseeritud sündmuses olemasolev, kuid juhtpaneelil puuduv väärtus viitab väljavõttele või päringule.
See järjekord on oluline, sest iga hilisem etapp saab ainult teavet kaotada, mitte kunagi seda taastada. Regulaaravaldis ei saa tagasi võtta stringi, mille varasem etapp asendas kohahoidjaga, ja privaatsussäte ei saa seletada väärtust, mida ei saadetud kunagi.
Maskeerimine allikas on poliitika, mitte parseri viga
Cisco ASA logimise dokumentatsioon kirjeldab kasutajanime peitmist konfigureeritava käitumisena, sealhulgas seda, kuidas esitatakse kehtetuid või tundmatuid kasutajanimesid. Maskeeritud identiteet lähtesündmuses võib seega olla täpselt see, mida privaatsuspoliitika nõuab, ja selle käsitlemine parsimisveana viib taotluseni, mis nõrgendab kontrolli.
Täpne esitus sõltub versioonist ja sõnumitüübist. Üks sündmus võib kanda kohahoidjat, teine võib välja täielikult välja jätta ja autentimistõrge ei pruugi kunagi sisaldada nime. Kontrollige konkreetse sündmuse dokumenteeritud käitumist, selle asemel et rakendada vana veaaruannet igale puuduvale identiteedile.
Kui maskeerimine on tahtlik, muutub küsimus sellest, kuidas välja taastada, selleks, kas auditi nõuet saab muul viisil täita. Seansiidentifikaatorid, väiksema rühma käes olev kontrollitud identiteedikaardistus või kitsam volitatud sündmusvoog rahuldavad vajaduse sageli ilma, et iga proovitud kasutajanimi satuks iga logilugeja ette.
Enne indekseerimist tehtud anonüümimist ei saa tagasi pöörata
Splunki dokumentatsioon sündmuste töötlemise kohta kirjeldab anonüümimist sed-avaldiste ja teisenduste kaudu, mis kirjutavad andmed enne indekseerimist ümber või eemaldavad need. Just see paigutus ongi mõte: töötlemata sündmust muudetakse sisse tulemise teel, seega otsinguajasel väljavõttel pole enam midagi leida.
Indekseerimisaegne redigeerimine ja otsinguajane väljade väljavõtmine lahendavad erinevaid probleeme. Redigeerimine piirab, kes väärtust üldse näha saab; väljavõtmine otsustab ainult, millist nime päring kasutab. Räsimine on vahepealne valik, mis säilitab korrelatsiooni, kuid stabiilne räsi väikese kasutajanimeruumi kohal on endiselt identifitseeriv, kui keegi saab selle vastu kandidaatnimesid proovida.
Kui salvestatud sündmus sisaldab endiselt identiteeti, on probleem allavoolu: lähtetüüp, reavahetus, eraldajate käsitlemine, välja aliased või päring ise. Need on tavalised parsimisparandused ja need ei puuduta privaatsuspiiri.
Valige parandus, mis piiriga sobib
Vastuse otsustavad kolm tingimust. Esiteks, kas privaatsuspoliitika kavatseb identiteedi välistada? Teiseks, kas auditi- või uurimisprotsess vajab identiteeti, pseudonüümi või ainult seanssi? Kolmandaks, millisel piiril on väärtust vaja — kogumine, salvestamine või esitamine?
Kui poliitika kavatseb välistada, muutke nõuet või esitust, mitte kontrolli. Kui poliitika lubab identiteeti, kuid kogumine kaotab selle, parandage koguja ja kinnitage töötlemata sündmus. Kui salvestus on terve, parandage väljavõte ja testige seda kinnitatud sündmusega, mille alguses jäädvustasite.
Lõpetage uurimine, nimetades muudatusekirjes piiri: allikas maskeeritud, vastuvõtu ajal eemaldatud või väljavõttel vahele jäänud. See üks lause ütleb järgmisele insenerile, kuhu kõigepealt vaadata, ja hoiab ära, et juhtpaneeli kaebus muutub vaikselt väljalülitatud privaatsusfunktsiooniks.