HTTP-bewizen kieze: gateway-logboeken of applikaasjeloggen

Webmonitoring begjint mei in doel, net mei in opfangpunt. Aktive kliïnten telle, in API-oprop tiidmje en berjochtslichems lêze easket elk oare bewizen en oare privacy-besluten. In gateway dy’t befeilige HTTPS trochjout, sjocht ferbiningen ynstee fan paginynhâld. De ferkearde laach kieze jout gegevens dy’t ryk lykje en neat beantwettet.

Namme de fraach foar de gegevensboarne

Begjin mei de operasjonele beslissing dy’t de gegevens stypje moatte. Beskikberensfragen hawwe tellingen en tiden nedich, oanfraachfragen hawwe paden en statuskoaden nedich, en ynhâldfragen hawwe berjochtslichems nedich. Eltse stap nei binnen ta foegt gefoelichheid en yngenieurskompleksiteit ta. Litte de tsjinst-eigner en de feilichheids-eigner audinsje, doel en behanneling goedkarre foar’t de samling begjint, om’t de tunnel betsjinje net dy beslissing is.

Skriuw de fraach yn ien sin en hâld dy njonken it sammelplan. It is de iennichste betroubere omfangsbehearsking.

Wat de gateway sjen kin en wat net

In gateway dy’t krekt befeilige HTTPS trochjout, sjocht normaal adressen, poarten en folumes, net oanfraachrigels of lichems.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

De conntrack-list lit streamen en oersettings sjen, en de koarte opname lit pakketten sûnder lêsber applikaasjeynâld sjen. Dat is genôch om te befreegjen oft ferkear streamt, hoefolle en tusken hokker einpunten. It is gjin list fan URL’s, en in gewoane CONNECT-proxy jout de fersifere útwikseling troch sûnder it TLS fan de applikaasje te einigjen. As ien fan dy posysje oanfraachpaden ûnthjit, freegje hokker komponint ûntsiferet en ûnder waans fertrouwen.

Applikaasjeloggen beantwettet de measte oanfraachfragen

Foar in applikaasje dy’t jo betsjinje, beantwettet syn eigen stipe logging normaal de fraach op oanfraachnivo sûnder de ferbiningen fan oaren te ûntsiferjen.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

De sûnens-oanfraach mjit beskikberens fan in kliïnt syn posysje, en it tagongslogboek registrearret de fjilden dy’t de tsjinner al keazen hie te hâlden. Kies de fjilden dy’t de taak nedich hat en lit de rest bûten, om’t sels in URL gefoelige parameters drage kin. In logrigel is bewiis oer dy tsjinst, net oer elke oare tsjinst dy’t de brûker troch de tunnel berikte. De samling smel hâlde hâldt ek de bewaringsfraach lyts, dus set in finster koarter as it gedachte-eksperimint dat de eask produsearre.

Underskepping is in apart fertrouwensûntwerp

As ynspeksje op berjochtnivo echt nedich is, makket TLS-underskepping in nij betroud einpunt en in kliïntfertrouwensregeling dy’t ferspraat en ûnderhâlden wurde moat. Applikaasjes dy’t sertifikaten fêstsette, sille brekke, en de operator hâldt no privee kaaien waans beskerming likefolle betsjut as hokker tsjinnerkaai ek. De samling wurkje litte troch sertifikaatfalidaasje te ferswakjen, of troch in applikaasje te patchen dy’t syn sertifikaten fêstset, hannelt in feilichheidskontrôle foar in logrigel. Ferkies in dokuminteare ynspeksje-ûntwerp waans fertrouwensfersprieding al beheard wurdt, en hâld de priveekaai fan de autoriteit bûten alles wat dield wurdt.

Oan ’e ein fan it samlingsfinster, ferwiderje de konfiguraasje en syn fertrouwensmateriaal fia har eigners, en ferwiderje bewarre bewiis ûnder de ôfsprutsen polityk. Genôch betroubere ynformaasje foar it neamde doel is it súkseskriterium, net de grutste mooglike opname.