Որտե՞ղ է անհետանում VPN-ի օգտանունը մատյանի խողովակաշարից։
Համեմատեք դարպասի իրադարձությունը, հավաքիչի չմշակված պատճենը, ինդեքսավորված իրադարձությունը և որոնման պահի դաշտը, նախքան մատյանի գաղտնիության կարգավորումը փոխելը։
Նստաշրջանները հայտնվում են վահանակում, մինչ օգտանվան սյունը մնում է դատարկ, և առաջին մղումը վերլուծիչին մեղադրելն է։ Այդ մղումը բաց է թողնում երեք ավելի վաղ փուլեր, որտեղ արժեքը կարող էր կորչել։ Դարպասը կարող է քաղաքականությամբ քողարկել ինքնությունը, ներմուծման կանոնը կարող է ջնջել այն ինդեքսավորումից առաջ, և որոնման պահի արդյունահանումը կարող է պարզապես չկարողանալ անվանել այն։ Ուղղումը կախված է նրանից, թե որ սահմանն եք կարող ապացուցել որպես պատասխանատու, ուստի օգտակար աշխատանքը համեմատությունն է, ոչ թե կարգավորումը։
Սկսեք մեկ իրադարձությունից, ոչ թե վահանակից
Ընտրեք մեկ նույնականացման իրադարձություն և գրեք, թե ինչն է այն նույնականացնում՝ դարպասի մոդելը և թողարկումը, նույնականացման եղանակը, իրադարձության նույնացուցիչը, ժամանակի դրոշմը և աղբյուրի հասցեն։ Ավելացրեք օգտանունը ճիշտ այնպես, ինչպես մարդը մուտքագրել է այն, ներառյալ մեծատառերն ու փոքրատառերը, որովհետև տառաշերտին զգայուն որոնումը կարող է թաքցնել գոյություն ունեցող դաշտ։ Այդ իրադարձությունը դիտարկեք որպես հղում յուրաքանչյուր հետագա համեմատության համար։
Իրադարձության տեսակները չեն կիսում մեկ սխեմա։ Անհաջող փորձը, առանց հաճախորդի հաջող մուտքը և թունելի վերամիացումը կարող են տարբեր դաշտեր արտադրել, և որոշ դարպասներ բաց են թողնում ինքնությունը, երբ փորձը երբեք չի հասել օգտվողի նույնականացմանը։ Ուստի մեկ իրադարձության տեսակի դատարկ սյունը խողովակաշարի խնդրի թույլ ապացույց է։
Աշխատեք հաստատված փորձնական ինքնությամբ, ոչ թե իրական աշխատակցի հաշվով, և համեմատությունը պահեք մատյանի տվյալների վրա արդեն իսկ տարածվող հասանելիության կանոնների սահմաններում։ Միայն նմուշ ստանալու համար մանրամասն նույնականացման մատյանը լայնորեն միացնելը փոխում է այն համակարգը, որը փորձում եք չափել։
Համեմատեք չորս սահմանները հերթականությամբ
Արժեքը կարող է անհետանալ չորս կետերից մեկում։ Յուրաքանչյուր կետ ունի տարբեր սեփականատեր և տարբեր ուղղում։
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Կանգ առեք առաջին սահմանի վրա, որտեղ արժեքը անհետանում է։ Սարքի տեսքի և չմշակված պատճենի միջև անհամապատասխանությունը ցույց է տալիս փոխադրում կամ հավաքիչի կարգավորում՝ այնտեղ համապատասխանությունը, բայց ինդեքսավորված իրադարձությունում արժեքի բացակայությունը ցույց է տալիս ձևափոխում՝ ինդեքսավորված իրադարձությունում առկա, բայց վահանակում բացակայող արժեքը ցույց է տալիս արդյունահանում կամ հարցում։
Այս հերթականությունը կարևոր է, որովհետև յուրաքանչյուր հետագա փուլ կարող է միայն տեղեկություն կորցնել, երբեք չի վերականգնի այն։ Կանոնավոր արտահայտությունը չի կարող վերադարձնել այն տողը, որը ավելի վաղ փուլը փոխարինել է տեղապահով, և գաղտնիության կարգավորումը չի կարող բացատրել այն արժեքը, որը երբեք չի ուղարկվել։
Աղբյուրում քողարկելը քաղաքականություն է, ոչ վերլուծիչի սխալ
Cisco-ի ASA մատյանի փաստաթղթերը նկարագրում են օգտանվան թաքցնելը որպես կարգավորվող վարքագիծ, ներառյալ այն, թե ինչպես են ներկայացվում անվավեր կամ անհայտ օգտանունները։ Ուստի աղբյուր իրադարձությունում քողարկված ինքնությունը կարող է լինել հենց այն, ինչ պահանջում է գաղտնիության քաղաքականությունը, և այն վերլուծության ձախողում համարելը հանգեցնում է հարցման, որը թուլացնում է վերահսկողությունը։
Ճշգրիտ ներկայացումը կախված է թողարկումից և հաղորդագրության տեսակից։ Մեկ իրադարձություն կարող է կրել տեղապահ, մյուսը կարող է ամբողջությամբ բաց թողնել դաշտը, և նույնականացման ձախողությունը կարող է երբեք անուն չպարունակել։ Ստուգեք կոնկրետ իրադարձության փաստաթղթավորված վարքագիծը՝ փոխարենը հին սխալի հաշվետվություն կիրառելու բոլոր բացակայող ինքնությունների վրա։
Երբ քողարկումը դիտավորյալ է, հարցը փոխվում է՝ դաշտը ինչպես վերականգնելուց դառնում է այն, թե արդյոք աուդիտի պահանջը կարելի է բավարարել այլ կերպ։ Նստաշրջանի նույնացուցիչները, ավելի փոքր խմբի մոտ պահվող վերահսկվող ինքնության քարտեզը կամ ավելի նեղ լիազորված իրադարձությունների հոսքը հաճախ բավարարում են կարիքը՝ չդնելով յուրաքանչյուր փորձված օգտանուն յուրաքանչյուր մատյան ընթերցողի առաջ։
Ինդեքսավորումից առաջ անանունացումը հնարավոր չէ վերացնել
Splunk-ի փաստաթղթերը իրադարձությունների մշակման մասին նկարագրում են անանունացումը sed արտահայտություններով և ձևափոխումներով, որոնք վերաշարադրում կամ հեռացնում են տվյալները ինդեքսավորումից առաջ։ Հենց այդ տեղն է կարևորը՝ չմշակված իրադարձությունը փոխվում է ներս մտնելիս, ուստի որոնման պահի արդյունահանմանը գտնելու ոչինչ չի մնում։
Ինդեքսավորման պահի խմբագրումը և որոնման պահի դաշտերի արդյունահանումը լուծում են տարբեր խնդիրներ։ Խմբագրումը սահմանափակում է, թե ով կարող է ընդհանրապես տեսնել արժեքը՝ արդյունահանումը միայն որոշում է, թե որ անունն է օգտագործում հարցումը։ Հեշավորումը միջին տարբերակ է, որը պահպանում է հարաբերակցությունը, սակայն փոքր օգտանունների տարածության վրա կայուն հեշը դեռևս նույնականացնում է, երբ ինչ-որ մեկը կարող է դրա դեմ ստուգել թեկնածու անուններ։
Եթե պահված իրադարձությունը դեռ պարունակում է ինքնությունը, խնդիրը ներքևում է՝ աղբյուրի տեսակը, տողերի բաժանումը, բաժանիչների մշակումը, դաշտերի կեղծանունները կամ հարցումը ինքը։ Դրանք սովորական վերլուծության ուղղումներ են և չեն շոշափում գաղտնիության սահմանը։
Ընտրեք սահմանին համապատասխանող ուղղումը
Երեք պայման են որոշում պատասխանը։ Առաջին՝ արդյոք գաղտնիության քաղաքականությունը նպատակ ունի բացառել ինքնությունը։ Երկրորդ՝ արդյոք աուդիտի կամ քննության ընթացքին անհրաժեշտ է ինքնությունը, կեղծանունը, թե միայն նստաշրջանը։ Երրորդ՝ որ սահմանում է արժեքը անհրաժեշտ՝ հավաքում, պահպանում, թե ներկայացում։
Եթե քաղաքականությունը նպատակ ունի բացառել, փոխեք պահանջը կամ ներկայացումը, ոչ թե վերահսկողությունը։ Եթե քաղաքականությունը թույլ է տալիս ինքնությունը, բայց հավաքումը կորցնում է այն, ուղղեք հավաքիչը և հաստատեք չմշակված իրադարձությունը։ Եթե պահպանումը անփոփոխ է, ուղղեք արդյունահանումը և փորձարկեք այն սկզբում գրանցված հաստատված իրադարձության դեմ։
Ավարտեք քննությունը՝ փոփոխության գրառման մեջ նշելով սահմանը՝ քողարկված աղբյուրում, հեռացված ներմուծման ընթացքում, կամ բաց թողնված արդյունահանման կողմից։ Այդ մեկ նախադասությունը հուշում է հաջորդ ինժեներին, թե որտեղ նայել առաջինը, և այն թույլ չի տալիս, որ վահանակի բողոքը դառնա լուռ անջատված գաղտնիության հատկություն։