Lue VPN-lokisi ennen kuin lähetät sen: kenttä kentältä

Avaat tukipyynnön, liität asiakasohjelman tuottaman diagnostiikkaviennin ja odotat. Tiedosto ei todennäköisesti sisällä lainkaan selaushistoriaa, ja juuri se saa sen tuntumaan turvalliselta. Siinä on silti, kuka olet, millä koneella työskentelit, mitkä sisäiset osoitteet saavutit ja milloin, ja joskus yksityinen avain, jonka kopioi asiakasohjelma, joka kirjaa asetuksensa lokiin. Tiedoston läpikäynti ennen lähettämistä kestää noin viisi minuuttia ja estää pysyvän paljastumisen.

Avaa se ja lue ensimmäiset neljäkymmentä riviä

Aloita ylhäältä, johon asiakasohjelmat yleensä sylkäisevät version, alustan ja kokoonpanon. Ensimmäiset rivit kertovat, kuinka yksityiskohtainen tiedosto on, ja se määrää, kuinka paljon lopusta sinun tarvitsee välittää. Oletusloki ja virheenkorjausloki ovat eri artefakteja, joilla on erilainen altistus.

head -n 40 vpn-support.log
sed -n '1,40p' vpn-support.log | grep -nE 'version|platform|config|option'

Tarkista myös tiedoston koko ja muoto ennen kuin luet siitä mitään. Kahden megatavun tekstitiedosto, jossa yksi tapahtuma toistuu, on helppo karsia. Saman kansion binaarinen tallenne on täysin eri ongelma, ja se vaatii erilaisen keskustelun sen kanssa, joka vientiä pyysi.

Windowsissa vastineet ovat yksi cmdlet kumpikin, ja ensimmäinen kannattaa ajaa jokaisella tiedostolla, jota et itse luonut:

Get-Content .\vpn-support.txt -TotalCount 40
Get-Item .\vpn-support.txt | Select-Object Length,LastWriteTime

Kentät, jotka tunnistavat henkilön

Käyttäjänimet ilmestyvät paikkoihin, joihin ihmiset eivät osaa odottaa: todennukseen käytetty tili, varmenteen subjekti, profiilin polku kotihakemiston alla ja koneen nimi, joka usein koodaa oikean nimen. Loki, joka redusoi tilit-kentän ja jättää kotipolun ennalleen, ei ole redusoinut mitään.

Johdonmukaisuus on tärkeämpää kuin täydellisyys, kun tukiasiantuntijan on seurattava yhtä istuntoa tiedoston läpi. Korvaa arvot pysyvillä nimikkeillä sen sijaan että poistat ne, jotta jokainen saman käyttäjän esiintymä luetaan edelleen samana käyttäjänä. Kentän poistaminen kokonaan katkaisee langan, jonka asiantuntija tarvitsee, eikä tee tiedostosta turvallisempaa.

Aikaleima on myös henkilötietoa kokonaisuutena. Ajat, jolloin tili oli yhteydessä, kuukauden ajalta otettuina, kuvaavat työaikoja ja matkustamista. Jos kysymys ei tarvitse koko väliä, karsi tiedosto tapahtuman ympärillä olevaan ikkunaan.

Kentät, jotka tunnistavat verkon

Päätepisteiden osoitteet, sisäiset reitit ja työnnetyt valinnat kuvaavat yksityisverkon muodon. Juuri sitä tietoa hyökkääjä haluaisi, ja sitä on yleensä paljon yksityiskohtaisemmin kuin tiketti tarvitsee.

Etsi käytössä oleva osoiteperhe, älä vain sitä, jota odotit. Kaksoispinon asiakasohjelma voi kirjata IPv6-päätepisteen ja joukon IPv6-reittejä, joita kukaan ei ajatellut redusoida, koska katselmus etsi vain pisteillä erotettuja nelikkoja.

grep -nEo '([0-9]{1,3}\.){3}[0-9]{1,3}' vpn-support.log | sort -u | head -n 40
grep -nEo '([0-9a-fA-F]{0,4}:){2,7}[0-9a-fA-F]{0,4}' vpn-support.log | sort -u | head -n 20

Yksilöllinen luettelo on koko pointti. Se kertoo, kuinka monta eri osoitetta tiedosto mainitsee, ja se on yleensä paljon vähemmän kuin vierittäessä tuntuu. Se antaa myös tarkistuslistan redusointia varten ja tavan todistaa, että käsittelit kaikki. Kymmenen osoitetta on viiden minuutin työ, ja sata kertoo, että vienti on kysymystä laajempi.

Säilytä topologia, jos asiantuntija tarvitsee sitä. Toisen ja kolmannen oktetin korvaaminen aliverkkosuhteet säilyttäen vastaa kysymykseen julkaisematta aluetta. Sama temppu toimii IPv6-etuliitteille. Asiantuntija tarvitsee vian muodon, ja muoto säilyy johdonmukaisen korvauksen jälkeen.

Salaisuudet piiloutuvat muotoihin, eivät nimikkeisiin

Yksityinen avain ei tarvitse sanaa “password” lähelleen. Se esiintyy lohkona merkintärivien välissä, pitkänä base64-merkkijonona tai sisennettynä kokoonpanovedostuksena. Tokenit esiintyvät kyselyparametreina ja tunnukset URL-osoitteiden sisällä, jotka asiakasohjelma kirjasi sanatarkasti.

grep -nE 'BEGIN [A-Z ]*PRIVATE KEY|password|passwd|token|secret|psk|auth-user-pass' vpn-support.log
grep -nE 'https?://[^ ]*:[^ ]*@' vpn-support.log

Toinen kuvio on se, jonka ihmiset unohtavat. URL-osoite muotoa skeema, käyttäjä, salasana, isäntä on täydellinen tunnus, ja asiakasohjelmat kirjaavat tällaisia URL-osoitteita aina, kun välityspalvelin tai syöte on määritetty sisäisellä todennuksella.

Älä koskaan lähetä alkuperäistä tiedostoa todisteena siitä, ettet muokannut sitä. Jos operaattori vaatii muuttamatonta vientiä, kysy, mihin sitä tarvitaan, lähetä se heidän vahvistetun tukikanavansa kautta ja poista sitten paikallinen kopiosi. Pyyntö on laillinen; julkinen liittäminen ei ole.

Rakenna redusoitu kopio ja lähetä ote

Työskentele kopiolla, pidä alkuperäinen suojatussa paikassa ja redusoi toistuvalla komennolla käsin tekemisen sijaan. Yksi läpikäynti osoitekuvioiden yli nappaa suurimman osan siitä:

cp vpn-support.log vpn-support.original.log
sed -E 's/([0-9]{1,3}\.){3}[0-9]{1,3}/ADDR/g; s/[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+/USER@DOMAIN/g' \
  vpn-support.original.log > vpn-support.redacted.log
grep -cE 'PRIVATE KEY|password|token' vpn-support.redacted.log

Loppuluvun pitäisi olla nolla. Jos ei ole, redusointikierros jätti yhden muodon väliin, ja sinun pitäisi katsoa niitä rivejä ennen kuin lähetät mitään. Lue redusoitu tiedosto myös kerran omin silmin; skripti nappaa kuvioita, ei asiayhteyttä.

Lähetä pienin ote, joka vielä näyttää vian. Kymmenen riviä virheen ympäriltä riittää yleensä, ja ne on paljon helpompi tarkastaa kuin kahden megatavun tiedosto. Pidä sitten nimikkeidesi ja todellisten arvojen välinen kartoitus paikassa, jota hallitset, koska jatkokysymys tarvitsee sitä.

OpenVPN:n lokitusdokumentaatio kuvaa, miten yksityiskohtaisuustasot muuttavat sitä, mitä kirjataan, mikä on hyödyllistä taustatietoa päätettäessä, kuinka paljon tiedostoa ongelma todella vaatii.