Pode un rexistro VPN mostrar o historial de navegación? Que demostran as probas
Un rexistro de sesión, unha consulta ao resolvedor e un rexistro de fluxo demostran cousas distintas. Escolla a pregunta, cruce identidade e tempo e afirme só o que se demostrou.
Dúas preguntas de auditoría soan parecidas e esixen probas de distinto tipo. Que sesión contactou este enderezo pódese responder cos rexistros de conexión e de fluxo. Que persoa abriu esta páxina normalmente non, polo menos non con eses rexistros. Escoller o recompilador antes de escoller a pregunta é como un equipo de rede acaba presentando un nome de host como un historial de navegación.
Empece polo suceso que a auditoría debe establecer
Escriba a pregunta como unha frase con suxeito, verbo e tempo. Só esa disciplina xa expón a fenda entre un rexistro de sesión e unha visita a unha páxina. Un rexistro de sesión establece que unha identidade foi aceptada durante un intervalo, cun enderezo asignado baixo unha política rexistrada, e non pode establecer que páxina leu ninguén porque nunca viu a solicitude.
Etiquete a observación antes de deseñar a recollida. Un campo chamado como un sitio visitado que en realidade garda un nome resolto é un erro futuro, non unha comodidade. Os nomes dos campos sobreviven a quen os elixiu, así que elixa os que describan a proba e non a conclusión.
Que pode e que non pode soster cada rexistro
Catro tipos de rexistro aparecen en case todo deseño de auditoría, e cada un responde a unha pregunta distinta. Mantéñaos separados no informe e na tubería, porque mesturalos é como un achado defendible se converte nun vergoñento.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Lea a última columna co mesmo coidado que a do medio. Un rexistro de fluxo describe enderezos e portos, e unha consulta inversa dun enderezo non reconstrúe o nome que usou un navegador, porque un enderezo pode aloxar moitos sitios non relacionados. Unha consulta ao resolvedor demostra que se fixo unha pregunta, non que se mostrase unha páxina. Un nome de host visible durante unha negociación TLS tampouco é a ruta cifrada da solicitude.
Cada unha desas é unha observación real, e ningunha é a observación que a xente supón. Un navegador que insiste no seu propio resolvedor cifrado queda fóra do alcance monitorizado, e a análise non pode recuperar o que o rexistro nunca viu. Esa fenda pertence ao informe como límite declarado, non como nota ao pé.
Consultas anticipadas e respostas na caché
Os navegadores resolven nomes por adiantado, ás veces sen cargar nada. Tamén responden desde a caché sen enviar unha consulta nova ao resolvedor que vostede vixía, o que significa que a ausencia dunha consulta non é a ausencia dunha visita. Ambas condutas rompen a ecuación inxenua entre un rexistro DNS e un historial de navegación.
DNS sobre HTTPS engade unha segunda fronteira: un navegador ou unha aplicación convidada co seu propio resolvedor nunca pregunta nada ao rexistrador da organización. As transaccións exactas só veñen dos eventos da propia aplicación ou dun proxy cuxo rexistro vostede admite explicitamente. Un túnel HTTPS CONNECT simple deixa o proxy sen ningunha visión das rutas de páxina que contén. Posuír a rede non é permiso para substituír en silencio o modelo de confianza da aplicación.
O enderezo pertence a unha sesión, non a unha persoa
Un rexistro de fluxo cun enderezo do rango do túnel é un punto de partida, non unha resposta. Vincule ese enderezo e a marca de tempo coa asignación de sesión activa nese momento, porque ese enderezo pode reasignarse a outra sesión unha hora despois. O enderezo estático é unha forma de manter esa asociación, e non a única.
Cando un paso de tradución colapsa varios dispositivos nunha soa dirección de orixe por riba do sensor, a unión só pode nomear a sesión de pasarela compartida. Unha conta compartida ou un certificado usado por varias persoas limita a atribución por completo que pareza a información de rede. Ambos pertencen ao informe como límites, non como advertencias para despois.
Rexiste a zona horaria, a fonte do reloxo, o punto de observación e cada fronteira de tradución intermedia. A ausencia merece o mesmo coidado que a presenza, porque un rexistro que falta pode significar que unha entrada de fluxo caducou, que un sensor nunca viu o paquete ou que un rexistro de aplicación estaba apagado.
Deseñe para o propósito declarado e logo demostre a tubería
Unha vez fixada a pregunta, defina que campos fan falta, quen pode lelos e canto tempo se conservan. Recompilar máis porque o almacenamento é barato crea unha responsabilidade que sobrevive á investigación. O modelo de privacidade do RFC 6973 enmarca a correlación, a atribución errónea e a recollida innecesaria como problemas de deseño, non como reflexións posteriores.
Protexa o mapeo e os rexistros como un só obxecto, porque cada un por separado é moito menos sensible que a parella. Despois valide o deseño fronte a actividade que teña permiso de xerar e xa entenda, coa consulta máis pequena na que se apoiará o informe. Unha tubería que non pode reproducir un suceso coñecido tampouco reproducirá un descoñecido. Informe do suceso que sosteñen as probas, coas palabras que as probas permiten, e deixe que o lector chegue só á conclusión maior.
Escriba os límites xunto ao achado: que se uniu, que se traduciu e que rexistro permaneceu calado. Un achado que declara os seus propios límites sobrevive a unha revisión que un resumo confiado non sobrevive. Esa é a diferenza entre unha proba e unha historia sobre unha proba.