Olvassa el a VPN-naplót, mielőtt elküldi: mezőről mezőre

Ön nyit egy támogatási jegyet, csatolja az ügyfél által készített diagnosztikai exportot, és vár. A fájl valószínűleg egyáltalán nem tartalmaz böngészési előzményeket, és épp ez teszi biztonságosnak látszóvá. Mégis tartalmazza, hogy ki Ön, melyik gépet használta, mely belső címeket érte el és mikor, és olykor egy privát kulcsot, amelyet egy klienstől másoltak, amely naplózza a konfigurációját. A fájl átfutása küldés előtt körülbelül öt percet vesz igénybe, és megakadályoz egy tartós felfedést.

Nyissa meg, és olvassa el az első negyven sort

Kezdje a tetején, ahol a kliensek általában a verziót, a platformot és a konfigurációt kiírják. Az első sorok megmondják, mennyire részletes a fájl, és ez határozza meg, mennyit kell törődnie a többivel. Az alapértelmezett napló és a hibakeresési napló különböző tárgyak, különböző kitettséggel.

head -n 40 vpn-support.log
sed -n '1,40p' vpn-support.log | grep -nE 'version|platform|config|option'

A fájl méretét és formáját is ellenőrizze, mielőtt bármit olvasna belőle. Egy két megabájtos szövegfájl egy ismétlődő eseménnyel könnyen vágható. Egy bináris rögzítés ugyanabban a mappában teljesen más probléma, és más beszélgetést igényel azzal, aki az exportot kérte.

Windows alatt a megfelelők egy-egy cmdlet, és az elsőt érdemes lefuttatni minden olyan fájlon, amelyet nem Ön hozott létre:

Get-Content .\vpn-support.txt -TotalCount 40
Get-Item .\vpn-support.txt | Select-Object Length,LastWriteTime

A személyt azonosító mezők

A felhasználónevek olyan helyeken bukkannak fel, ahol az emberek nem számítanak rá: a hitelesítéshez használt fiók, a tanúsítvány tárgya, a profil elérési útja a saját könyvtár alatt, és a gépnév, amely gyakran valódi nevet kódol. Az a napló, amely szerkeszti a fiók mezőjét, de érintetlenül hagyja a saját könyvtár elérési útját, semmit nem szerkesztett.

A konzisztencia fontosabb a teljességnél, amikor egy támogatási mérnöknek egy munkamenetet kell végigkövetnie a fájlban. Az értékeket cserélje stabil címkékre, ne törölje őket, hogy ugyanazon felhasználó minden előfordulása továbbra is ugyanazon felhasználóként olvasható legyen. A mező teljes törlése elszakítja a szálat, amelyre a mérnöknek szüksége van, és nem teszi biztonságosabbá a fájlt.

Az időbélyeg összességében szintén személyes adat. Egy fiók csatlakozási időpontjai egy hónapon át nézve munkaidőt és utazást írnak le. Ha a kérdésnek nincs szüksége a teljes tartományra, vágja a fájlt az esemény körüli ablakra.

A hálózatot azonosító mezők

A végpontcímek, a belső útvonalak és a kiküldött beállítások egy privát hálózat formáját írják le. Pontosan ezt az információt szeretné egy támadó, és általában sokkal részletesebben van jelen, mint amennyire a jegynek szüksége van.

A használatban lévő címcsaládot keresse, ne csak azt, amelyet várt. Egy kettős veremű kliens naplózhat egy IPv6-végpontot és egy sor IPv6-útvonalat, amelyeket senki nem gondolt szerkeszteni, mert az átvizsgálás csak ponttal elválasztott négyeseket keresett.

grep -nEo '([0-9]{1,3}\.){3}[0-9]{1,3}' vpn-support.log | sort -u | head -n 40
grep -nEo '([0-9a-fA-F]{0,4}:){2,7}[0-9a-fA-F]{0,4}' vpn-support.log | sort -u | head -n 20

Az egyedi lista a lényeg. Megmondja, hány különböző címet említ a fájl, és ez általában sokkal kevesebb, mint amilyennek görgetés közben tűnik. Egy ellenőrzőlistát is ad a szerkesztéshez, és módot arra, hogy bizonyítsa, mindet lefedte. Tíz cím ötperces munka, és száz azt mondja, hogy az export szélesebb a kérdésnél.

Tartsa meg a topológiát, ha a mérnöknek szüksége van rá. A második és harmadik oktett cseréje az alhálózati viszonyok megőrzésével válaszol a kérdésre anélkül, hogy közzétenné a tartományt. Ugyanez a trükk működik az IPv6-előtagoknál. A mérnöknek a hiba formájára van szüksége, és a forma túléli a konzisztens helyettesítést.

A titkok formákban rejtőznek, nem címkékben

A privát kulcsnak nincs szüksége a “password” szóra a közelében. Blokként jelenik meg jelölősorok között, hosszú base64-karakterláncként vagy beágyazott konfigurációs dömpként. A tokenek lekérdezési paraméterként jelennek meg, a hitelesítő adatok pedig olyan URL-ekben, amelyeket egy kliens szó szerint naplózott.

grep -nE 'BEGIN [A-Z ]*PRIVATE KEY|password|passwd|token|secret|psk|auth-user-pass' vpn-support.log
grep -nE 'https?://[^ ]*:[^ ]*@' vpn-support.log

A második minta az, amelyet az emberek elfelejtenek. A séma, felhasználó, jelszó, gazdagép formájú URL teljes hitelesítő adat, és a kliensek az ilyen URL-eket mindig naplózzák, amikor egy proxy vagy egy csatorna beágyazott hitelesítéssel van beállítva.

Soha ne küldje el az eredeti fájlt annak bizonyítékaként, hogy nem szerkesztette. Ha egy üzemeltető ragaszkodik a módosítatlan exporthoz, kérdezze meg, mire kell neki, küldje el az ellenőrzött támogatási csatornájukon, majd törölje a helyi másolatát. Ez a kérés jogos; a nyilvános beillesztés nem az.

Készítse el a szerkesztett másolatot, és küldje el a részletet

Másolaton dolgozzon, az eredetit védett helyen tartsa, és ismételhető paranccsal szerkesszen, ne kézzel. Egyetlen menet a cím-mintákon a nagy részét elkapja:

cp vpn-support.log vpn-support.original.log
sed -E 's/([0-9]{1,3}\.){3}[0-9]{1,3}/ADDR/g; s/[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+/USER@DOMAIN/g' \
  vpn-support.original.log > vpn-support.redacted.log
grep -cE 'PRIVATE KEY|password|token' vpn-support.redacted.log

A végső számnak nullának kell lennie. Ha nem az, a szerkesztési menet kihagyott egy formát, és meg kell néznie azokat a sorokat, mielőtt bármit elküld. A szerkesztett fájlt egyszer saját szemével is olvassa át; egy szkript mintákat fog, nem kontextust.

A legkisebb részletet küldje el, amely még mutatja a hibát. A hiba körüli tíz sor általában elég, és sokkal könnyebb átnézni, mint egy két megabájtos fájlt. Utána tartsa a címkék és a valódi értékek közötti megfeleltetést olyan helyen, amelyet Ön ellenőriz, mert a következő kérdésnek szüksége lesz rá.

Az OpenVPN naplózási dokumentációja leírja, hogyan változtatják a részletességi szintek azt, ami rögzítésre kerül, ami hasznos kontextus annak eldöntéséhez, hogy a fájl mekkora részét igényli valójában a probléma.