Voiko VPN-loki näyttää selaushistorian? Mitä todisteet todistavat
Istuntoloki, resolverikysely ja vuotietue todistavat eri asioita. Valitse kysymys, yhdistä identiteetti ja aika ja kerro vain se, mikä osoitettiin.
Kaksi auditointikysymystä kuulostavat samalta ja vaativat erilaisia todisteita. Siihen, mikä istunto otti yhteyttä tähän osoitteeseen, voidaan vastata yhteys- ja vuotietueista. Siihen, kuka henkilö avasi tämän sivun, ei yleensä, ainakaan ei noista tietueista. Kerääjän valitseminen ennen kysymyksen valitsemista on se tapa, jolla verkkotiimi päätyy esittämään isäntänimen selaushistoriana.
Aloita tapahtumasta, joka auditoinnin on todettava
Kirjoita kysymys lauseena, jossa on subjekti, verbi ja aika. Pelkkä tämä kuri paljastaa eron istuntotietueen ja sivun katselun välillä. Istuntoloki osoittaa, että identiteetti hyväksyttiin tietyksi aikaväliksi, jolle annettiin osoite kirjatun käytännön mukaisesti, eikä se voi osoittaa, kuka luki minkä sivun, koska se ei koskaan nähnyt pyyntöä.
Nimeä havainto ennen keruun suunnittelua. Kenttä, joka on nimetty vierailun kohteena olleen sivuston mukaan mutta tallentaa todellisuudessa ratkaistun nimen, on tuleva virhe eikä mukavuus. Kenttien nimet elävät kauemmin kuin ne valinneet ihmiset, joten valitse sellaisia, jotka kuvaavat todistetta eivätkä johtopäätöstä.
Mitä kukin tietue voi tukea ja mitä ei
Neljä tietuetyyppiä esiintyy lähes jokaisessa auditointisuunnitelmassa ja kukin vastaa eri kysymykseen. Pidä ne erillään sekä raportissa että putkessa, sillä niiden sekoittaminen on se, miten puolustettava löydös muuttuu noloksi.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Lue viimeistä saraketta yhtä huolellisesti kuin keskimmäistä. Vuotietue kuvaa osoitteita ja portteja, eikä osoitteen käänteishaku rekonstruoi nimeä, jota selain käytti, koska yksi osoite voi isännöidä monia toisiinsa liittymättömiä sivustoja. Resolverikysely todistaa, että kysymys esitettiin, ei sitä, että sivu näytettiin. Myöskään TLS-neuvottelun aikana näkyvä isäntänimi ei ole salatun pyynnön polku.
Jokainen näistä on todellinen havainto, eikä mikään niistä ole se havainto, jota ihmiset olettavat. Selain, joka vaatii omaa salattua resolveriaan, on valvotun alueen ulkopuolella, eikä analyysi voi palauttaa sitä, mitä kirjaus ei koskaan nähnyt. Tämä aukko kuuluu raporttiin ilmoitettuna rajana, ei alaviitteenä.
Ennakoivat haut ja välimuistiin tallennetut vastaukset
Selaimet ratkaisevat nimiä etukäteen, joskus lataamatta mitään. Ne vastaavat myös välimuistista lähettämättä uutta kyselyä valvomaasi resolveriin, mikä tarkoittaa, että kyselyn puuttuminen ei ole vierailun puuttumista. Molemmat käyttäytymiset rikkovat naiivin yhtälön DNS-lokin ja selaushistorian välillä.
DNS HTTPS:n yli lisää toisen rajan: selain tai vierasohjelma omalla resolverillaan ei koskaan kysy organisaation kirjaajalta mitään. Tarkat tapahtumat tulevat vain sovelluksen omista tapahtumista tai välityspalvelimesta, jonka kirjausta tuet nimenomaisesti. Tavallinen HTTPS CONNECT -tunneli jättää välityspalvelimen ilman mitään näkymää sisällään oleviin sivupolkuihin. Verkon omistaminen ei ole lupa vaihtaa sovelluksen luottamusmallia hiljaisesti.
Osoite kuuluu istunnolle, ei henkilölle
Tunneliavaruuden osoitteen sisältävä vuotietue on lähtökohta eikä vastaus. Yhdistä kyseinen osoite ja aikaleima sinä hetkenä aktiiviseen istuntomääritykseen, sillä osoite voidaan antaa tuntia myöhemmin toiselle istunnolle. Staattinen osoitteistus on yksi tapa pitää tämä yhteys ja ei ainoa.
Kun käännösvaihe tiivistää useita laitteita yhdeksi lähdeosoitteeksi anturin ylävirrassa, yhdistäminen voi nimetä vain jaetun yhdyskäytävän istunnon. Jaettu tili tai usean ihmisen käyttämä varmenne rajoittaa kohdistamista, vaikka verkkotiedot näyttäisivät kuinka täydellisiltä. Molemmat kuuluvat raporttiin rajoituksina eivätkä myöhempinä varauksina.
Kirjaa aikavyöhyke, kellon lähde, havaintopiste ja jokainen käännösraja niiden välillä. Poissaolo ansaitsee saman huolen kuin läsnäolo, sillä puuttuva tietue voi tarkoittaa, että vuokirjaus vanheni, anturi ei koskaan nähnyt pakettia tai sovellusloki oli kytketty pois.
Suunnittele ilmoitettua tarkoitusta varten ja todista sitten putki
Kun kysymys on vahvistettu, määritä, mitkä kentät tarvitaan, kuka saa lukea niitä ja kuinka kauan niitä säilytetään. Suuremman kerääminen siksi, että tallennus on halpaa, luo vastuun, joka elää tutkintaa pidempään. Yksityisyysmalli RFC 6973:ssa kehystää korrelaation, virheellisen kohdistamisen ja tarpeettoman keräämisen suunnitteluongelmiksi eikä jälkikäteen ajateltaviksi.
Suojaa kartoitus ja tietueet yhtenä objektina, sillä kumpikin yksin on paljon vähemmän arkaluonteinen kuin pari. Validoi sitten suunnitelma toimintaa vastaan, jota sinulla on lupa tuottaa ja jonka jo ymmärrät, käyttäen pienintä kyselyä, johon raportti nojaa. Putki, joka ei pysty toistamaan tunnettua tapahtumaa, ei toista tuntematontakaan. Raportoi tapahtuma, jota todisteet tukevat, sanoilla, jotka todisteet sallivat, ja anna lukijan itse päätyä suurempaan johtopäätökseen.
Kirjoita rajat löydöksen viereen: mikä yhdistettiin, mikä käännettiin ja mikä loki vaikeni. Löydös, joka ilmoittaa omat rajansa, kestää tarkastuksen, jota itsevarma yhteenveto ei kestä. Se on ero todisteen ja todisteesta kerrotun tarinan välillä.