Mit bizonyíthat és mit nem egy VPN-napló a böngészésről

Mielőtt naplógyűjtőt választ, döntse el, mely eseményt kell az auditnak megállapítania. Más kérdés, hogy melyik VPN-munkamenet lépett kapcsolatba egy célcímmel, és más, hogy melyik személy nyitott meg egy adott oldalt. Mindkettőhöz más rekordok, más összekapcsolások és más bizonyossági szintek kellenek. Egy OpenVPN kapcsolatnapló az elsőre válaszol, a másodikra nem tud.

Nevezze meg az eseményt a gyűjtő kiválasztása előtt

A munkamenet-rekord elfogadott identitást, kezdési és befejezési időt, valamint egy címet mutat, amelyet a kiszolgáló a saját szabályzata szerint osztott ki. A feloldónapló azt mutatja, hogy egy nevet annál a feloldónál kérdeztek le. A folyamrekord címeket, portokat, protokollt és időt mutat, az alkalmazásnapló pedig azt a tranzakciót, amelyet az alkalmazás ténylegesen kezelt. Ezek közül egyik sem helyettesíti a másikat.

Mindegyik egy eseményt állapít meg, a többit nyitva hagyja. Ha előbb leírja a kérdést, nem állít össze olyan történetet, amelyet az adatok nem támasztanak alá.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Az első parancs a szolgáltatás naplójából mutat munkamenet-eseményeket. A második kinyomtatja az aktuális ügyféllistát a kiosztott címekkel, ez az a leképezés, amelyen az audit összekapcsolása alapul. A harmadik az élő folyamállapotot mutatja, amely csak addig hasznos, amíg a kapcsolat létezik.

A keresés nem látogatás

A böngésző spekulatívan oldja fel a neveket, gyorsítótárazza a válaszokat és újra felhasználja azokat anélkül, hogy újra kérdezné a megfigyelt feloldót. Ezért a feloldónaplóban szereplő név keresést bizonyít, nem látogatást. A HTTPS feletti DNS tovább szélesíti ezt a rést, mert az erre beállított böngésző a kérdéseit oda küldi, ahol a szokásos naplózója soha nem látja őket.

A célcímek önmagukban nem jobbak. Egy cím sok független oldalnak adhat otthont, a fordított DNS találgatás és nem rekonstrukció, és a TLS-kézfogás során látható hosztnév nem a titkosított munkameneten belüli kérési útvonal.

Pontos tranzakciókhoz magának az alkalmazásnak az eseményrekordjai kellenek, vagy olyan proxyterv, amelyet kifejezetten támogatnak naplózáshoz. A CONNECT-alagút a proxynak a célt és a mennyiséget adja, nem a benne lévő oldalútvonalakat. A hálózathoz való rendszergazdai hozzáférés nem engedély arra, hogy csendben lecserélje az alkalmazás bizalmi modelljét.

Kapcsolja össze az identitást és az időt, mielőtt személyt nevez meg

A belső forráscímet hordozó folyamrekord semmit sem jelent, amíg azt a címet ugyanabban az időben össze nem kapcsolják egy munkamenettel. A címek újrahasznosulnak, és ugyanaz a cím egy órával korábban egy másik munkamenethez tartozhatott. A statikus kiosztás egy módja a kapcsolat megtartásának, de nem az egyetlen.

A fordítási határok tovább gyengítik az összekapcsolást. Ha több eszköz már a megfigyelési pontja előtt osztozott egy forráscímen, a legjobb, amit azonosíthat, a közös átjáró-munkamenet, nem egyetlen eszköz. Egy több ember által használt tanúsítvány vagy fiók ugyanilyen hatású.

Rögzítse az időzónákat, az óraforrásokat, a megfigyelési pontokat és minden fordítási lépést. A hiányzó rekordok jelenthetik azt, hogy egy folyambejegyzés elévült, egy érzékelőt megkerültek, vagy egy alkalmazásnapló ki volt kapcsolva. A hiány nem bizonyíték arra, hogy semmi sem történt.

Ezután határozza meg a minimális mezőket, az engedélyezett olvasókat és a megőrzési időt a megadott célra. A korreláció és a téves hozzárendelés tervezési kérdés, nem utólagos gondolat, és a személyeket azonosító metaadatok ugyanolyan védelmet érdemelnek, mint az identitásleképezés, amelytől függenek.

Tesztelje az auditot az Ön által irányított tevékenységgel

Hozzon létre engedélyezett forgalmat, amelynek munkamenetét és alkalmazását már ismeri, majd ellenőrizze, mit rögzített valójában az egyes rekordok. Végezzen keresést az oldal betöltése nélkül, töltsön be egy oldalt a gyorsítótárból, és nyisson kapcsolatot proxyn keresztül, és nézze meg, mely események jelennek meg.

Jelentse az eseményt, amelyet a bizonyítékok alátámasztanak, és mondja meg, mit nem fednek le. A megadott hatókörű szerény rekord átmegy a felülvizsgálaton; a találgatásokból összeállított nagyravágyó böngészési előzmény nem.