בחירת ראיות HTTP: רשומות השער או יומני היישום

ניטור האינטרנט מתחיל ממטרה, לא מנקודת לכידה. ספירת לקוחות פעילים, מדידת זמן של קריאת API וקריאת גופי הודעות דורשים כל אחד ראיות אחרות והחלטות פרטיות אחרות. שער שמעביר HTTPS מוגן רואה חיבורים ולא תוכן עמוד. בחירת השכבה הלא נכונה מניבה נתונים שנראים עשירים ואינם עונים על דבר.

נסח את השאלה לפני מקור הנתונים

התחל בהחלטה התפעולית שעל הנתונים לתמוך בה. שאלות זמינות צריכות ספירות וזמנים, שאלות בקשות צריכות נתיבים וקודי סטטוס, ושאלות תוכן צריכות גופי הודעות. כל צעד פנימה מוסיף רגישות ומורכבות הנדסית. קבל את אישור בעל השירות ובעל האבטחה לקהל, למטרה ולטיפול לפני תחילת האיסוף, כי הפעלת המנהרה אינה אותה החלטה.

כתוב את השאלה במשפט אחד והחזק אותה לצד תוכנית האיסוף. זהו הבקרה האמינה היחידה על ההיקף.

מה השער יכול להראות ומה לא

שער שמעביר HTTPS מוגן כראוי רואה בדרך כלל כתובות, פורטים ונפחים, ולא שורות בקשה או גופים.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

רשימת conntrack מציגה זרימות ותרגומים, והלכידה הקצרה מציגה מנות בלי תוכן יישומי קריא. זה מספיק כדי לענות אם התעבורה זורמת, כמה, ובין אילו נקודות קצה. זה אינו רשימת URL, ופרוקסי CONNECT רגיל מעביר את החליפין המוצפן בלי לסיים את ה-TLS של היישום. כשמישהו מבטיח נתיבי בקשה מעמדה כזו, שאל איזה רכיב מפענח ובאיזו אמונה.

יומני היישום עונים על רוב שאלות הבקשה

עבור יישום שאתה מפעיל, הרישום הנתמך שלו בדרך כלל עונה על השאלה ברמת הבקשה בלי לפענח חיבורים של אחרים.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

בקשת הבריאות מודדת זמינות מעמדת לקוח, ויומן הגישה רושם את השדות שהשרת כבר בחר לשמור. בחר את השדות שהמשימה צריכה והשאר את היתר בחוץ, כי אפילו URL יכול לשאת פרמטרים רגישים. שורת יומן היא ראיה על אותו שירות, לא על כל שירות אחר שהמשתמש הגיע אליו דרך המנהרה. שמירת איסוף צר גם משאירה קטנה את שאלת השימור, לכן קבע חלון קצר יותר מניסוי המחשבה שיצר את הדרישה.

יירוט הוא עיצוב אמון נפרד

אם באמת נדרשת בדיקה ברמת ההודעה, יירוט TLS יוצר נקודת קצה מהימנה חדשה והסדר אמון לקוח שחייב להיות מופץ ומתוחזק. יישומים שמצמידים תעודות יישברו, והמפעיל מחזיק כעת מפתחות פרטיים שההגנה עליהם חשובה כמו כל מפתח שרת. לגרום לאיסוף לעבוד על ידי החלשת אימות התעודות, או על ידי תיקון יישום שמצמיד את תעודותיו, מחליף בקרת אבטחה בשורת יומן. העדף עיצוב בדיקה מתועד שהפצת האמון שלו כבר מנוהלת, והחזק את המפתח הפרטי של הרשות מחוץ לכל דבר משותף.

בסוף חלון האיסוף, הסר את התצורה ואת חומר האמון שלה דרך הבעלים שלהם, וסלק את הראיות השמורות לפי המדיניות המוסכמת. מספיק מידע מהימן למטרה המוצהרת הוא קריטריון ההצלחה, לא הלכידה הגדולה ביותר האפשרית.