Kin in VPN-loch de blêdzjeskiednis sjen litte? Wat de bewizen bewize
In sesjeloch, in resolver-fraach en in flowrecord bewize ferskillende dingen. Kies de fraach, ferbynt identiteit en tiid, en seit dan allinnich wat oantoand is.
Twa audytfragen klinke itselde en freegje om bewiis fan ferskillende soarten. Hokker sesje dit adres oanrekke hat, is te beantwurdzjen út ferbining- en flowrecords. Hokker persoan dizze side iepene hat, meastentiids net, teminsten net út dy records. In sammelder kieze foar't de fraach keazen is, is hoe't in netwurkteam einiget mei it presintearjen fan in hostnamme as blêdzjeskiednis.
Begjin mei de barren dy't de audit fêststelle moat
Skriuw de fraach as in sin mei in ûnderwerp, in tiidwurd en in tiid. Dy dissipline allinnich al leit de kleau tusken in sesjerecord en in sidebesyk bleat. In sesjeloch stelt fêst dat in identiteit foar in ynterval akseptearre waard, mei in tawiisd adres ûnder in fêstleine belied, en it kin net fêststelle hokker side immen lies, om't it de oanfraach nea seach.
Nammje de observaasje foar't de samling ûntwurpen wurdt. In fjild neamd nei in besocht webstee dat eins in oploste namme bewarret, is in takomstige flater ynstee fan in gemak. Fjildnammen libje langer as de minsken dy't se keazen hawwe, dus kies nammen dy't it bewiis beskriuwe en net de konklúzje.
Wat elk record stypje kin en wat net
Fjouwer soarten records komme yn hast elk audytûntwerp foar, en elk beantwurdet in oare fraach. Hâld se apart yn it rapport likegoed as yn 'e pipeline, want se trochinoar helje is hoe't in ferdigenber fynst in ferlegen ien wurdt.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Lês de lêste kolom like soarchfâldich as de middelste. In flowrecord beskriuwt adressen en poarten, en in omheech sykjen fan in adres rekonstruearret net de namme dy't in browser brûkte, want ien adres kin in soad net-relatearre sites hostje. In resolver-fraach bewiist dat in fraach steld waard, net dat in side toand waard. In hostnamme dy't by in TLS-ûnderhanneling sichtber is, is ek net it fersifere oanfraachpaad.
Elk dêrfan is in echte observaasje, en gjinien is de observaasje dy't minsken oannimme. In browser dy't op syn eigen fersifere resolver stiet, sit bûten it folge berik, en analyze kin net weromhelje wat de logging nea seach. Dy kleau heart yn it rapport as in oanjûne beheining en net as in fuotnoat.
Foarôfgeande opfregjen en antwurden út 'e cache
Browsers lossen nammen foarôf op, soms sûnder ea eat te laden. Se antwurdzje ek út 'e cache sûnder in nije fraach nei de resolver te stjoeren dy't jo folgje, wat betsjut dat it ûntbrekken fan in fraach net it ûntbrekken fan in besyk is. Beide gedragingen brekke de naïve fergeliking tusken in DNS-loch en in blêdzjeskiednis.
DNS oer HTTPS foeget in twadde grins ta: in browser of in gastapplikaasje mei syn eigen resolver freget de logger fan 'e organisaasje nea eat. Krekte transaksjes komme allinnich út 'e barrens fan 'e applikaasje sels of út in proxy waans logging jo eksplisyt stypje. In gewoane HTTPS CONNECT-tunnel lit de proxy sûnder hokker sicht dan ek op 'e sidepaden deryn. It netwurk besitte is gjin tastimming om it fertrouwensmodel fan 'e applikaasje stil te ferfangen.
It adres heart by in sesje, net by in persoan
In flowrecord mei in adres út it tunnelberik is in útgongspunt ynstee fan in antwurd. Ferbynt dat adres en dy tiidstempel mei de sesjetawizing dy't op dat stuit aktyf wie, want dat adres kin in oere letter oan in oare sesje tawiisd wurde. Statyske adressearring is ien manier om dy assosjaasje te hâlden en net de iennichste.
Wêr't in oersettingsstap ferskate apparaten gearfettet yn ien boarne-adres boppe de sensor, kin de ferbining allinnich de dielde gateway-sesje neame. In dield akkount of in sertifikaat dat troch ferskate minsken brûkt wurdt, beheint taskriuwing hoe folslein de netwurkgegevens der ek útsjen. Beide hearre yn it rapport as beheiningen en net as foarbehâlden foar letter.
Registrearje de tiidzone, de klokboarne, it observaasjepunt en elke oersettingsgrins dertusken. Ofwêzichheid fertsjinnet deselde soarch as oanwêzichheid, want in ûntbrekkend record kin betsjutte dat in flow-yngong ferfallen is, dat in sensor it pakket nea seach of dat in applikaasjeloch útskeakele wie.
Untwerp foar it oanjûne doel, bewiis dan de pipeline
As de fraach fêststiet, definiearje hokker fjilden nedich binne, wa't se lêze mei en hoe lang se bewarre wurde. Mear sammelje om't opslach goedkeap is, skept in ferantwurdlikheid dy't it ûndersyk oerlibbet. It privacy-model yn RFC 6973 ramt korrelaasje, ferkearde taskriuwing en ûnnedige samling as ûntwerpproblemen en net as neitochten.
Beskermje de mapping en de records as ien objekt, want elk apart is folle minder gefoelich as it pear. Falidearje dan it ûntwerp tsjin aktiviteit dy't jo tastean wurde te generearjen en al begripe, mei de lytste fraach dêr't it rapport op steune sil. In pipeline dy't in bekend barren net reprodusearje kin, sil in ûnbekend barren ek net reprodusearje. Rapportearje it barren dat it bewiis stipet, yn 'e wurden dy't it bewiis tastean, en lit de lêzer sels de gruttere konklúzje berikke.
Skriuw de grinzen njonken de fynst: wat ferbûn, wat oerset en hokker loch stil bleau. In fynst dy't syn eigen grinzen neamt, oerlibbet in resinsje dy't in selsbetrouwen gearfetting net oerlibbet. Dat is it ferskil tusken bewiis en in ferhaal oer bewiis.