Wêr ferdwynt in VPN-brûkersnamme út ’e lochpipeline?
Fergelykje it gateway-evenemint, de rûge kopy fan ’e samler, it yndeksearre evenemint en it fjild by sykjen foardat jo in privacy-ynstelling foar lochs feroarje.
Sesjes ferskine op it dashboard wylst de kolom foar brûkersnamme leech bliuwt, en de earste ympuls is de parser de skuld te jaan. Dy ympuls slacht trije eardere stadia oer wêr’t de wearde ferlern gean koe. In gateway kin in identiteit neffens belied maskearje, in yntakregel kin it foar yndeksearjen fuortsmite, en in ekstraksje by sykjen kin gewoan fersomje it te neamen. De reparaasje hinget ôf fan hokker grins jo bewiize kinne ferantwurdlik is, dus it nuttige wurk is fergeliking, net konfiguraasje.
Begjin by ien evenemint, net by it dashboard
Kies ien autentikaasje-evenemint en skriuw op wat it identifisearret: it model en de ferzje fan ’e gateway, de autentikaasjemetoade, de evenemint-identifikaasje, de tiidstimpel en it boarneadres. Foegje de brûkersnamme krekt sa ta as de persoan it typt hat, ynklusyf haadletters, want in sykjen dat gefoelich is foar haadletters kin in fjild ferbergje dat der wol is. Behannelje dat evenemint as referinsje foar elke lettere fergeliking.
Eveneminttypen diele net itselde skema. In mislearre besykjen, in slagge oanmelding sûnder klant en in werferbining fan ’e tunnel kinne elk oare fjilden opleverje, en guon gateways litte de identiteit weilitten as it besykjen nea by brûkersautentikaasje kaam. In lege kolom by ien eveneminttype is dêrom swak bewiis foar in pipeline-probleem.
Wurkje mei in goedkarde testidentiteit ynstee fan in echte meiwurkeraccount, en hâld de fergeliking binnen de tagongsregels dy’t de lochgegevens al behearskje. Breed detaillearre autentikaasjelogging oansette allinnich om in stekproef te krijen feroaret it systeem dat jo besykje te mjitten.
Fergelykje de fjouwer grinzen yn folchoarder
De wearde kin op ien fan fjouwer punten ferdwine. Elk punt hat in oare eigner en in oare reparaasje.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Stop by de earste grins dêr’t de wearde ferdwynt. In ûnienichheid tusken de werjefte fan it apparaat en de rûge kopy wiist op ferfier of konfiguraasje fan ’e samler; oerienkomst dêr mar in ûntbrekkende wearde yn it yndeksearre evenemint wiist op in transformaasje; in wearde dy’t yn it yndeksearre evenemint stiet mar op it dashboard ûntbrekt, wiist op ekstraksje of de query.
Dizze folchoarder is fan belang om’t elk letter stadium allinnich ynformaasje ferlieze kin, nea weromhelje. In regex kin in tekenrige net weromkrije dy’t in earder stadium troch in plakhâlder ferfongen hat, en in privacy-ynstelling kin in wearde net ferklearje dy’t nea ferstjoerd is.
Maskearjen by de boarne is belied, gjin parserfout
Cisco’s ASA-lochdokumintaasje beskriuwt it ferbergjen fan brûkersnammen as konfigurearber gedrach, ynklusyf hoe’t ûnjildige of ûnbekende brûkersnammen werjûn wurde. In maskearde identiteit yn it boarneelemint kin dus krekt wêze wat it privacybelied freget, en it behanneljen as in parsearfout liedt ta in fersyk dat de kontrôle ferswakket.
De krekte werjefte hinget ôf fan ’e ferzje en it berjochtype. Ien evenemint kin in plakhâlder drage, in oar kin it fjild hielendal weilitte, en in autentikaasjeflater kin nea in namme befetsje. Kontrolearje it dokumintearre gedrach foar it spesifike evenemint ynstee fan in âld flaterrapport op elke ûntbrekkende identiteit ta te passen.
As maskearjen opsetlik is, feroaret de fraach fan hoe’t it fjild werombrocht wurde kin nei oft de auditfoarsjenning op in oare manier foldien wurde kin. Sessje-identifikaasjes, in kontrolearre identiteitsmap by in lytsere groep, of in smeller autorisearre evenemintstream foldogge faak oan ’e needsaak sûnder elke besochte brûkersnamme foar elke lochlêzer te setten.
Anonymisearjen foar yndeksearjen kin net weromdraaid wurde
Splunk’s dokumintaasje oer evenemintferwurking beskriuwt anonymisearjen troch sed-útdrukkingen en transformaasjes dy’t gegevens werôfskriuwe of fuortsmite foardat se yndeksearre wurde. Krekt dy lokaasje is it punt: it rûge evenemint wurdt by it ynkommen feroare, sadat in ekstraksje by sykjen neat mear te finen hat.
Redaksje by yndeksearjen en fjildekstraksje by sykjen lossen ferskate problemen op. Redaksje beheint wa’t de wearde ea sjen kin; ekstraksje beslút allinnich hokker namme de query brûkt. Hashen is in tuskenopsje dy’t korrelaasje behâldt, mar in stabile hash oer in lyts brûkersnammeromte is noch hieltyd identifisearjend as immen kandidaatnammen dêr tsjin testen kin.
As it bewarre evenemint de identiteit noch befettet, leit it probleem streamôf: boarnetype, rigelbrekken, ôfhanneling fan skiedingstekens, fjildaliassen of de query sels. Dat binne gewoane parsearreparaasjes en se reitsje de privacygrins net.
Kies de reparaasje dy’t by de grins past
Trije betingsten beslisse it antwurd. Earst, is it de bedoeling fan it privacybelied om de identiteit út te sluten? Twadde, hat it audit- of ûndersyksproses de identiteit, in pseudonym of allinnich de sesje nedich? Tredde, by hokker grins is de wearde nedich — samling, bewarjen of presintaasje?
As it belied útsluting bedoelt, feroarje dan de foarsjenning of de presintaasje, net de kontrôle. As it belied de identiteit tastiet mar de samling smyt it fuort, reparearje de samler en befêstigje it rûge evenemint. As it bewarjen yntakt is, reparearje de ekstraksje en test it tsjin it goedkarde evenemint dat jo oan it begjin fêstlein hawwe.
Slút it ûndersyk ôf troch de grins yn it wizigingsrecord te neamen: maskeard by de boarne, fuortsmiten by yntak of mist troch ekstraksje. Dy iene sin fertelt de folgjende yngenieur wêr’t earst sjoen wurde moat, en it hâldt in dashboardklacht tsjin it feroarjen yn in stil útskeakele privacyfunksje.