היכן נעלם שם משתמש VPN מצינור הלוגים?
השוו בין אירוע השער, העותק הגולמי של האספן, האירוע המאונדקס והשדה בזמן החיפוש לפני שתשנו בקרת פרטיות של לוגים.
הפעלות מופיעות בלוח הבקרה בעוד עמודת שם המשתמש נשארת ריקה, והדחף הראשון הוא להאשים את המנתח. הדחף הזה מדלג על שלושה שלבים מוקדמים שבהם הערך יכול היה להיעלם. שער יכול להסוות זהות לפי מדיניות, כלל קליטה יכול למחוק אותה לפני האינדוקס, וחילוץ בזמן חיפוש יכול פשוט להיכשל מלתת לה שם. התיקון תלוי באיזה גבול תוכלו להוכיח כאחראי, ולכן העבודה המועילה היא השוואה ולא תצורה.
התחילו מאירוע אחד, לא מלוח הבקרה
בחרו אירוע אימות בודד ורשמו מה מזהה אותו: דגם השער והגרסה, שיטת האימות, מזהה האירוע, חתימת הזמן וכתובת המקור. הוסיפו את שם המשתמש בדיוק כפי שהאדם הקליד אותו, כולל אותיות רישיות וקטנות, כי חיפוש שתלוי ברישיות יכול להסתיר שדה שקיים. התייחסו לאירוע הזה כאל אמת מידה לכל השוואה מאוחרת.
סוגי אירועים אינם חולקים סכימה אחת. ניסיון כושל, התחברות מוצלחת ללא לקוח וחיבור מחדש של מנהרה יכולים להפיק שדות שונים, ושערים אחדים משמיטים את הזהות כאשר הניסיון מעולם לא הגיע לאימות משתמש. עמודה ריקה בסוג אירוע אחד היא אפוא ראיה חלשה לבעיה בצינור.
עבדו עם זהות בדיקה מאושרת ולא עם חשבון עובד אמיתי, ושמרו על ההשוואה בתוך כללי הגישה שכבר חלים על נתוני הלוג. הפעלה גורפת של רישום אימות מפורט רק כדי לקבל דגימה משנה את המערכת שאתם מנסים למדוד.
השוו את ארבעת הגבולות לפי הסדר
הערך יכול להיעלם באחד מארבעה נקודות. לכל נקודה בעלים אחר ותיקון אחר.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
עצרו בגבול הראשון שבו הערך נעלם. אי-התאמה בין תצוגת ההתקן לבין העותק הגולמי מצביעה על תעבורה או על תצורת האספן; התאמה שם אך ערך חסר באירוע המאונדקס מצביעה על טרנספורמציה; ערך שקיים באירוע המאונדקס אך חסר בלוח הבקרה מצביע על חילוץ או על השאילתה.
הסדר הזה חשוב מפני שכל שלב מאוחר יותר יכול רק לאבד מידע, ולעולם לא לשחזר אותו. ביטוי רגולרי אינו יכול להחזיר מחרוזת ששלב קודם החליף במציין מקום, והגדרת פרטיות אינה יכולה להסביר ערך שמעולם לא נשלח.
הסתרה במקור היא מדיניות, לא תקלה במנתח
תיעוד הרישום של ASA מבית Cisco מתאר הסתרת שם משתמש כהתנהגות ניתנת לתצורה, כולל כיצד מיוצגים שמות משתמש לא חוקיים או לא מוכרים. זהות מוסתרת באירוע המקור יכולה אפוא להיות בדיוק מה שמדיניות הפרטיות דורשת, והתייחסות אליה ככשל ניתוח מובילה לבקשה שמחלישה את הבקרה.
הייצוג המדויק תלוי בגרסה ובסוג ההודעה. אירוע אחד יכול לשאת מציין מקום, אחר יכול להשמיט את השדה לגמרי, וכשל אימות יכול שלא לכלול שם לעולם. בדקו את ההתנהגות המתועדת עבור האירוע הספציפי במקום להחיל דוח תקלה היסטורי על כל זהות חסרה.
כאשר ההסתרה מכוונת, השאלה משתנה מאיך לשחזר את השדה לשאלה אם אפשר למלא את דרישת הביקורת בדרך אחרת. מזהי הפעלה, מיפוי זהויות מבוקר בידי קבוצה קטנה יותר, או פיד אירועים מורשה וצר יותר עונים לרוב על הצורך בלי להעמיד כל שם משתמש שננסה מול כל קורא לוג.
אי אפשר לבטל אנונימיזציה לפני האינדוקס
התיעוד של Splunk לעיבוד אירועים מתאר אנונימיזציה באמצעות ביטויי sed וטרנספורמציות שמשכתבות או מסירות נתונים לפני האינדוקס. בדיוק המיקום הזה הוא הנקודה: האירוע הגולמי משתנה בכניסה, ולכן לחילוץ בזמן חיפוש לא נשאר מה למצוא.
הסתרה בזמן האינדוקס וחילוץ שדות בזמן החיפוש פותרים בעיות שונות. ההסתרה מגבילה מי יכול אי פעם לראות את הערך; החילוץ רק קובע באיזה שם משתמשת השאילתה. גיבוב הוא אפשרות ביניים שמשמרת מתאם, אך גיבוב יציב על מרחב שמות משתמש קטן עדיין מזהה כאשר מישהו יכול לבדוק מולו שמות מועמדים.
אם האירוע השמור עדיין מכיל את הזהות, הבעיה נמצאת בהמשך: סוג המקור, שבירת שורות, טיפול במפרידים, כינויים של שדות או השאילתה עצמה. אלה תיקוני ניתוח שגרתיים והם אינם נוגעים בגבול הפרטיות.
בחרו את התיקון שמתאים לגבול
שלושה תנאים מכריעים את התגובה. ראשית, האם מדיניות הפרטיות מתכוונת להוציא את הזהות? שנית, האם תהליך הביקורת או החקירה זקוק לזהות, לשם בדוי או רק להפעלה? שלישית, באיזה גבול נדרש הערך — איסוף, אחסון או הצגה?
אם המדיניות מתכוונת להוצאה, שנו את הדרישה או את ההצגה, לא את הבקרה. אם המדיניות מתירה את הזהות אך האיסוף מפיל אותה, תקנו את האספן ואמתו את האירוע הגולמי. אם האחסון שלם, תקנו את החילוץ ובדקו אותו מול האירוע המאושר שתיעדתם בהתחלה.
סיימו את החקירה בשם הגבול ברשומת השינוי: מוסתה במקור, הוסרה בזמן הקליטה, או הוחמצה בחילוץ. המשפט האחד הזה אומר למהנדס הבא היכן לחפש קודם, והוא מונע מתלונה על לוח הבקרה להפוך לתכונת פרטיות שהושבתה בשקט.