Mitä VPN-loki voi todistaa selailusta ja mitä ei

Ennen kuin valitset lokien kerääjän, päätä minkä tapahtuman auditin on osoitettava. Kysymys siitä, mikä VPN-istunto otti yhteyttä kohdeosoitteeseen, on eri kysymys kuin se, kuka henkilö avasi tietyn sivun. Molemmat vaativat eri tietueita, eri liitoksia ja eri luottamustasoja. OpenVPN-yhteysloki vastaa ensimmäiseen eikä voi vastata toiseen.

Nimeä tapahtuma ennen kerääjän valintaa

Istuntotietue näyttää hyväksytyn identiteetin, alkamis- ja päättymisajan sekä osoitteen, jonka palvelin jakoi oman käytäntönsä mukaan. Selvitysloki näyttää, että nimeä kysyttiin kyseiseltä selvittäjältä. Virratietue näyttää osoitteet, portit, protokollan ja ajan, ja sovellusloki näyttää tapahtuman, jonka kyseinen sovellus todella käsitteli. Mikään näistä neljästä ei korvaa toista.

Jokainen niistä osoittaa yhden tapahtuman ja jättää muut avoimiksi. Kun kirjoitat kysymyksen ensin, et kokoa tarinaa, jota tiedot eivät tue.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Ensimmäinen komento näyttää istuntotapahtumat palvelun lokista. Toinen tulostaa nykyisen asiakasluettelon jaetut osoitteet, mikä on se kartoitus, josta auditiin liitos riippuu. Kolmas näyttää virran reaaliaikaisen tilan, joka on hyödyllinen vain niin kauan kuin yhteys on olemassa.

Haku ei ole käynti

Selain ratkaisee nimiä spekulatiivisesti, tallentaa vastaukset välimuistiin ja käyttää niitä uudelleen kysymättä valvotulta selvittäjältä uudelleen. Nimi selvityslokissa todistaa siis haun, ei käyntiä. HTTPS:n kautta kulkeva DNS leveventää tätä aukkoa, koska sitä varten määritetty selain lähettää kysymyksensä sinne, missä tavallinen kirjaajasi ei koskaan näe niitä.

Kohdeosoitteet eivät ole itsessään parempia. Yksi osoite voi ylläpitää monia toisiinsa liittymättömiä sivustoja, käänteinen DNS on arvaus eikä rekonstruktio, eikä TLS-kättelyn aikana näkyvä isäntänimi ole salatun istunnon sisäinen pyyntöpolku.

Tarkkoihin tapahtumiin tarvitset sovelluksen omat tapahtumatietueet tai välityspalvelinratkaisun, joka on nimenomaisesti tuettu kirjaamiseen. CONNECT-tunneli antaa välityspalvelimelle kohteen ja määrän, ei sen sisällä olevia sivupolkuja. Verkon hallinnollinen pääsy ei ole lupa korvata sovelluksen luottamusmallia hiljaisesti.

Yhdistä identiteetti ja aika ennen kuin nimeät henkilön

Sisäistä lähdeosoitetta kantava virratietue ei tarkoita mitään ennen kuin osoite yhdistetään istuntoon samaan aikaan. Osoitteita käytetään uudelleen, ja sama osoite on voinut kuulua toiseen istuntoon tuntia aiemmin. Staattinen jako on yksi tapa pitää yhteys, ei ainoa.

Käännösrajat heikentävät liitosta edelleen. Jos useat laitteet jakoivat jo yhtä lähdeosoitetta ennen havaintopistettäsi, parhaiten voit tunnistaa yhteisen yhdyskäytäväistunnon etkä yhtä laitetta. Varmenteella tai tilillä, jota useat ihmiset käyttävät, on sama vaikutus.

Kirjaa aikavyöhykkeet, kellon lähteet, havaintopisteet ja jokainen käännösvaihe. Puuttuvat tietueet voivat tarkoittaa, että virratietue vanheni, anturi ohitettiin tai sovellusloki oli kytketty pois. Poissaolo ei ole todiste siitä, ettei mitään tapahtunut.

Määrittele sitten vähimmäiskentät, sallitut lukijat ja säilytysaika ilmoitettua tarkoitusta varten. Korrelaatio ja virheellinen kohdistus ovat suunnittelukysymyksiä eivätkä jälkikäteen mietittäviä, ja ihmisiä tunnistavat metatiedot ansaitsevat saman suojan kuin identiteettikartoitus, josta ne riippuvat.

Testaa auditointia hallitsemallasi toiminnalla

Tuota sallittua liikennettä, jonka istunnon ja sovelluksen tiedät jo, ja tarkista sitten, mitä kukin tietue todella tallensi. Tee haku lataamatta sivua, lataa sivu välimuistista ja avaa yhteys välityspalvelimen kautta, ja katso mitkä tapahtumat näkyvät.

Raportoi tapahtuma, jota todisteet tukevat, ja kerro mitä ne eivät kata. Vaatimaton tietue, jolla on ilmoitettu laajuus, kestää tarkastelun; arvauksista koottu kunnianhimoinen selaushistoria ei kestä.