Megmutathatja egy VPN-napló a böngészési előzményeket? Mit bizonyítanak a bizonyítékok
A munkamenet-napló, a feloldó lekérdezése és a folyamatrekord különböző dolgokat bizonyít. Válassza ki a kérdést, kapcsolja össze az identitást és az időt, és csak azt mondja ki, amit bemutattak.
Két auditkérdés hasonlóan hangzik, és különböző típusú bizonyítékokat igényel. Hogy melyik munkamenet lépett kapcsolatba ezzel a címmel, a kapcsolat- és folyamatnaplókból megválaszolható. Hogy melyik személy nyitotta meg ezt az oldalt, általában nem, legalábbis nem azokból a naplókból. A gyűjtő kiválasztása a kérdés kiválasztása előtt az, ahogyan egy hálózati csapat végül egy hosztnevet böngészési előzményként mutat be.
Kezdje azzal az eseménnyel, amelyet az auditnak meg kell állapítania
Írja fel a kérdést alanyból, igéből és időből álló mondatként. Már ez a fegyelem feltárja a munkamenet-rekord és az oldalmegtekintés közötti szakadékot. A munkamenet-napló megállapítja, hogy egy identitást egy időintervallumra elfogadtak, hozzárendelt címmel, rögzített szabályzat szerint, és nem tudja megállapítani, ki melyik oldalt olvasta, mert soha nem látta a kérést.
Nevezze meg a megfigyelést, mielőtt megtervezi a gyűjtést. Egy meglátogatott webhelyről elnevezett mező, amely valójában egy feloldott nevet tárol, jövőbeli hiba, nem kényelem. A mezőnevek túlélik az őket választó embereket, ezért olyanokat válasszon, amelyek a bizonyítékot írják le, nem a következtetést.
Mit tud és mit nem tud alátámasztani az egyes rekordok
Szinte minden audit-tervben négy rekordtípus jelenik meg, és mindegyik más kérdésre válaszol. Tartsa őket külön a jelentésben és az adatfolyamban is, mert összekeverésük az, ahogy egy védhető megállapítás kínos lesz.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Olvassa az utolsó oszlopot legalább olyan gondosan, mint a középsőt. A folyamatrekord címeket és portokat ír le, és egy cím fordított lekérdezése nem állítja vissza a böngésző által használt nevet, mert egy cím sok független webhelyet szolgálhat ki. A feloldó lekérdezése azt bizonyítja, hogy feltettek egy kérdést, nem azt, hogy megjelenítettek egy oldalt. A TLS-egyeztetés során látható hosztnév sem a titkosított kérési útvonal.
Mindegyik valódi megfigyelés, és egyik sem az a megfigyelés, amelyet az emberek feltételeznek. Az a böngésző, amely saját titkosított feloldójában bízik, a megfigyelt hatókörön kívül helyezkedik el, és az elemzés nem tudja visszaszerezni azt, amit a naplózás soha nem látott. Ez a szakadék a jelentésben kimondott korlátként szerepel, nem lábjegyzetként.
Előzetes lekérdezések és gyorsítótárazott válaszok
A böngészők előre feloldják a neveket, néha anélkül, hogy bármit betöltenének. A gyorsítótárból is válaszolnak, anélkül hogy új lekérdezést küldenének a figyelt feloldónak, ami azt jelenti, hogy a lekérdezés hiánya nem a látogatás hiánya. Mindkét viselkedés megtöri a DNS-napló és a böngészési előzmények közötti naiv egyenletet.
A HTTPS feletti DNS második határt ad: a saját feloldóval rendelkező böngésző vagy vendégalkalmazás soha nem kérdez semmit a szervezet naplózójától. Pontos tranzakciók csak az alkalmazás saját eseményeiből vagy olyan proxyból származnak, amelynek naplózását kifejezetten támogatja. Egy egyszerű HTTPS CONNECT-alagút nézet nélkül hagyja a proxyt a benne lévő oldalútvonalakra. A hálózat birtoklása nem engedély az alkalmazás bizalmi modelljének csendes lecserélésére.
A cím egy munkamenethez tartozik, nem egy személyhez
Az alagút-tartományból származó címet tartalmazó folyamatrekord kiindulópont, nem válasz. Kapcsolja össze ezt a címet és időbélyeget az abban a pillanatban aktív munkamenet-hozzárendeléssel, mert ez a cím egy órával később másik munkamenethez rendelhető. A statikus címzés az egyik módja ennek az összefüggésnek a megőrzésére, és nem az egyetlen.
Ahol egy fordítási lépés több eszközt egyetlen forráscímmé von össze az érzékelő felett, az összekapcsolás csak a megosztott átjáró munkamenetét nevezheti meg. A megosztott fiók vagy a több ember által használt tanúsítvány korlátozza az attribúciót, bármennyire teljesnek tűnik a hálózati adat. Mindkettő korlátként tartozik a jelentésbe, nem későbbi fenntartásként.
Rögzítse az időzónát, az óraforrást, a megfigyelési pontot és a köztük lévő minden fordítási határt. A hiány ugyanolyan gondosságot érdemel, mint a jelenlét, mert egy hiányzó rekord jelentheti, hogy egy folyamatbejegyzés lejárt, egy érzékelő soha nem látta a csomagot, vagy egy alkalmazásnapló ki volt kapcsolva.
Tervezzen a megadott célra, majd bizonyítsa az adatfolyamot
Amint a kérdés rögzített, határozza meg, mely mezők szükségesek, ki olvashatja őket, és meddig tárolják. Többet gyűjteni azért, mert a tárolás olcsó, olyan felelősséget teremt, amely túléli a vizsgálatot. A RFC 6973 adatvédelmi modellje a korrelációt, a téves attribúciót és a szükségtelen gyűjtést tervezési problémaként keretezi, nem utólagos gondolatként.
Védje a leképezést és a rekordokat egyetlen objektumként, mert külön-külön mindegyik sokkal kevésbé érzékeny, mint a pár. Ezután validálja a tervet olyan tevékenységgel szemben, amelyet engedélyezetten generálhat és már ért, a legkisebb lekérdezéssel, amelyre a jelentés támaszkodni fog. Egy adatfolyam, amely nem tud reprodukálni egy ismert eseményt, egy ismeretlent sem fog. Számoljon be az eseményről, amelyet a bizonyítékok alátámasztanak, azokkal a szavakkal, amelyeket a bizonyítékok megengednek, és hagyja, hogy az olvasó maga jusson el a nagyobb következtetésre.
Írja a korlátokat a megállapítás mellé: mit kapcsoltak össze, mit fordítottak le, és melyik napló hallgatott. Az a megállapítás, amely kimondja a saját határait, túlél egy olyan felülvizsgálatot, amelyet egy magabiztos összefoglaló nem él túl. Ez a különbség a bizonyíték és a bizonyítékról szóló történet között.