Non desagertzen da VPN erabiltzaile-izena erregistroen pipeline-etik?
Konparatu atebidearen gertaera, biltzailearen kopia gordina, indizeatutako gertaera eta bilaketa-uneko eremua erregistroen pribatutasun-kontrola aldatu aurretik.
Saioak panelean agertzen dira erabiltzaile-izenaren zutabea hutsik dagoen bitartean, eta lehen bulkada analizatzailea erruztatzea da. Bulkada horrek hiru etapa lehenago saltatzen ditu, balioa gal zitekeen tokian. Atebide batek identitatea politikaren arabera maskara dezake, sarrera-arau batek indizatu aurretik ezaba dezake, eta bilaketa-uneko erauzketa batek huts egin dezake hura izendatzean. Konponketa zein muga dagoen erantzule frogatu dezakezun mende dago, beraz lan erabilgarria konparazioa da, ez konfigurazioa.
Hasi gertaera batetik, ez paneletik
Aukeratu autentifikazio-gertaera bakarra eta idatzi zer den hura identifikatzen duena: atebidearen modeloa eta bertsioa, autentifikazio-metodoa, gertaeraren identifikatzailea, denbora-marka eta iturburu-helbidea. Gehitu erabiltzaile-izena pertsonak idatzi zuen bezalaxe, letra larriak eta xeheak barne, letra larriekiko sentikorra den bilaketa batek existitzen den eremu bat ezkuta dezakeelako. Hartu gertaera hori ondorengo konparazio guztien erreferentziatzat.
Gertaera-motak ez dute eskema bera partekatzen. Saiakera huts batek, bezero gabeko saio-hasiera arrakastatsu batek eta tunelaren berkonexio batek eremu desberdinak sor ditzakete, eta atebide batzuek identitatea baztertzen dute saiakera erabiltzaile-autentifikaziora iritsi ez bada. Beraz, gertaera-mota batean zutabe hutsa pipeline-arazo baten froga ahula da.
Erabili onartutako proba-identitate bat benetako langile-kontu baten ordez, eta eduki konparazioa erregistro-datuak jada arautzen dituzten sarbide-arauen barruan. Lagin bat lortzeko autentifikazio-erregistro xehea zabalki gaitzeak neurtu nahi duzun sistema aldatzen du.
Konparatu lau mugak ordenan
Balioa lau puntuetako batean desagertu daiteke. Puntu bakoitzak jabe desberdin bat eta konponketa desberdin bat ditu.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Gelditu balioa desagertzen den lehen mugan. Gailuaren ikuspegiaren eta kopia gordinaren arteko desadostasunak garraiora edo biltzailearen konfiguraziora eramaten du; han bat etortzeak, baina indizeatutako gertaeran balioa falta izateak transformazio batera eramaten du; indizeatutako gertaeran balioa egonik panelean agertzen ez bada, erauzketara edo kontsultara eramaten du.
Ordena hori garrantzitsua da etapa bakoitzak informazioa gal dezakeelako soilik, inoiz ez berreskuratu. Adierazpen erregular batek ezin du lehenago etapa batek leku-marka batekin ordeztu zuen kate bat berreskuratu, eta pribatutasun-ezarpen batek ezin du inoiz bidali ez zen balio bat azaldu.
Iturburuan maskaratzea politika da, ez analizatzailearen akatsa
Ciscoren ASA erregistro-dokumentazioak erabiltzaile-izena ezkutatzea konfigura daitekeen jokabide gisa deskribatzen du, erabiltzaile-izen baliogabeak edo ezezagunak nola adierazten diren barne. Beraz, iturburu-gertaeran maskaratutako identitatea pribatutasun-politikak eskatzen duen zehazki hori izan daiteke, eta analisi-akats gisa tratatzeak kontrola ahultzen duen eskaera batera eramaten du.
Adierazpen zehatza bertsioaren eta mezu-motaren araberakoa da. Gertaera batek leku-marka bat eraman dezake, beste batek eremua erabat baztertu dezake, eta autentifikazio-akats batek inoiz ez du izenik izango. Egiazta ezazu gertaera zehatzaren dokumentatutako jokabidea, akats-txosten historiko bat identitate falta guztiei aplikatu ordez.
Maskaratzea nahita egiten denean, galdera aldatzen da: eremua nola berreskuratu beharrean, auditoria-betekizuna beste modu batera bete ote daitekeen. Saio-identifikatzaileek, talde txikiago batek gordetzen duen identitate-mapa kontrolatu batek edo baimendutako gertaera-jario estuago batek askotan beharra betetzen dute erregistro-irakurle bakoitzaren aurrean saiaturiko erabiltzaile-izen bakoitza jarri gabe.
Indizatu aurretik egindako anonimizazioa ezin da desegin
Splunkek gertaeren prozesamenduari buruzko dokumentazioan anonimizazioa sed-adierazpenen eta datuak indizatu aurretik berridazten edo kentzen dituzten transformazioen bidez deskribatzen du. Kokapen hori da kontua: gertaera gordina sarreran aldatzen da, beraz bilaketa-uneko erauzketak ez du ezer aurkitzerik geratzen.
Indize-uneko erredakzioak eta bilaketa-uneko eremu-erauzketak arazo desberdinak konpontzen dituzte. Erredakzioak balioa inoiz nor ikus dezakeen mugatzen du; erauzketak kontsultak zein izen erabiltzen duen erabakitzen du soilik. Hash-egitea korrelazioa mantentzen duen tarteko aukera da, baina hash egonkor bat erabiltzaile-izen espazio txiki baten gainean identifikagarria da oraindik norbaitek hautagai-izenak haren aurka proba ditzakeenean.
Gordetako gertaerak identitatea oraindik badu, arazoa beherago dago: iturburu-mota, lerro-etena, bereizle-kudeaketa, eremu-aliasak edo kontsulta bera. Analisi-konponketa arruntak dira eta ez diote pribatutasun-mugari ukitzen.
Aukeratu mugari dagokion konponketa
Hiru baldintzek erabakitzen dute erantzuna. Lehenik, pribatutasun-politikak identitatea baztertu nahi du? Bigarrenik, auditoria- edo ikerketa-prozesuak identitatea, pseudonimo bat edo saioa soilik behar du? Hirugarrenik, zein mugatan behar da balioa — bilketa, biltegiratzea edo aurkezpena?
Politikak baztertzea nahi badu, aldatu betekizuna edo aurkezpena, ez kontrola. Politikak identitatea baimentzen badu baina bilketak hura galtzen badu, konpondu biltzailea eta berretsi gertaera gordina. Biltegiratzea osorik badago, konpondu erauzketa eta proba ezazu hasieran jasotako gertaera onartuaren aurka.
Itxi ikerketa aldaketa-erregistroan muga izendatuz: iturburuan maskaratuta, sarreran kenduta edo erauzketak huts eginda. Esaldi bakar horrek hurrengo ingeniariari esaten dio non begiratu lehenik, eta paneleko kexa bat isilka desgaitutako pribatutasun-funtzio bihurtzea eragozten du.