HTTP-todisteiden valinta: yhdyskäytävän lokit vai sovelluksen lokit

Verkon valvonta alkaa tarkoituksesta, ei kaappauspisteestä. Aktiivisten asiakkaiden laskeminen, API-kutsun ajoitus ja viestirunkojen lukeminen vaativat kukin erilaisia todisteita ja erilaisia yksityisyyspäätöksiä. Yhdyskäytävä, joka välittää suojattua HTTPS:ää, näkee yhteydet eikä sivun sisältöä. Väärän kerroksen valinta tuottaa dataa, joka näyttää rikkaalta eikä vastaa mihinkään.

Nimeä kysymys ennen tietolähdettä

Aloita operatiivisesta päätöksestä, jota datan on tuettava. Saatavuuskysymykset tarvitsevat laskentoja ja aikoja, pyyntökysymykset tarvitsevat polkuja ja tilakoodeja, ja sisältökysymykset tarvitsevat viestirunkoja. Jokainen askel sisäänpäin lisää arkaluonteisuutta ja insinöörityön monimutkaisuutta. Pyydä palvelun omistajaa ja tietoturvan omistajaa hyväksymään yleisö, tarkoitus ja käsittely ennen keruun alkua, koska tunnelin käyttö ei ole se päätös.

Kirjoita kysymys yhteen lauseeseen ja pidä sitä keruusuunnitelman vieressä. Se on ainoa luotettava laajuuden hallinta.

Miten yhdyskäytävä voi näyttää ja mitä ei

Yhdyskäytävä, joka välittää oikein suojattua HTTPS:ää, näkee yleensä osoitteet, portit ja määrät, ei pyyntörivejä tai runkoja.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

conntrack-luettelo näyttää virrat ja käännökset, ja lyhyt kaappaus näyttää paketit ilman luettavaa sovellussisältöä. Se riittää vastaamaan, kulkeeko liikenne, kuinka paljon ja minkä päätepisteiden välillä. Se ei ole URL-luettelo, ja tavallinen CONNECT-välityspalvelin välittää salatun vaihdon lopettamatta sovelluksen TLS:ää. Kun joku lupaa pyyntöpolut tuosta asemasta, kysy mikä komponentti purkaa salauksen ja kenen luottamuksen alla.

Sovelluksen lokit vastaavat useimpiin pyyntökysymyksiin

Sovellukselle, jota käytät, sen oma tuettu lokitus vastaa yleensä pyyntötason kysymykseen purkamatta muiden yhteyksiä.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Terveyspyyntö mittaa saatavuutta asiakkaan asemasta, ja käyttöloki tallentaa kentät, jotka palvelin oli jo valinnut säilyttää. Valitse kentät, joita tehtävä tarvitsee, ja jätä muu pois, koska jo URL voi kantaa arkaluonteisia parametreja. Lokirivi on todiste kyseisestä palvelusta, ei jokaisesta muusta palvelusta, johon käyttäjä pääsi tunnelin kautta. Kapea keruu pitää myös säilytyskysymyksen pienenä, joten aseta ikkuna lyhyemmäksi kuin vaatimuksen tuottanut ajatuskoe.

Sieppaus on erillinen luottamussuunnittelu

Jos viestitason tarkastus on todella tarpeen, TLS-sieppaus luo uuden luotetun päätepisteen ja asiakasluottamusjärjestelyn, joka on jaeltava ja ylläpidettävä. Sertifikaatit kiinnittävät sovellukset rikkoutuvat, ja operaattorilla on nyt yksityisavaimia, joiden suojaus merkitsee yhtä paljon kuin mikä tahansa palvelinavain. Keruun saaminen toimimaan heikentämällä sertifikaattien vahvistusta tai paikkaamalla sovellusta, joka kiinnittää sertifikaattinsa, vaihtaa turvakontrollin lokiriviin. Suosi dokumentoitua tarkastussuunnitelmaa, jonka luottamusjako on jo hallinnoitu, ja pidä viranomaisen yksityisavain poissa kaikesta jaetusta.

Keruuikkunan lopussa poista kokoonpano ja sen luottamusmateriaali heidän omistajiensa kautta ja hävitä säilytetyt todisteet sovitun käytännön mukaisesti. Riittävä luotettava tieto ilmoitettuun tarkoitukseen on menestyskriteeri, ei suurin mahdollinen kaappaus.