Bisakah log VPN menunjukkan riwayat penjelajahan? Apa yang dibuktikan bukti
Log sesi, kueri resolver, dan catatan aliran membuktikan hal yang berbeda. Pilih pertanyaannya, gabungkan identitas dan waktu, lalu nyatakan hanya apa yang ditunjukkan.
Dua pertanyaan audit terdengar mirip dan menuntut bukti yang berbeda jenis. Sesi mana yang menghubungi alamat ini dapat dijawab dari catatan koneksi dan aliran. Orang mana yang membuka halaman ini biasanya tidak, setidaknya tidak dari catatan itu. Memilih pengumpul sebelum memilih pertanyaan adalah cara sebuah tim jaringan berakhir menyajikan nama host sebagai riwayat penjelajahan.
Mulailah dari peristiwa yang harus ditetapkan audit
Tulis pertanyaannya sebagai kalimat dengan subjek, kata kerja, dan waktu. Disiplin itu saja sudah menyingkap celah antara catatan sesi dan tampilan halaman. Log sesi menetapkan bahwa sebuah identitas diterima untuk suatu interval, dengan alamat yang diberikan di bawah kebijakan yang tercatat, dan tidak dapat menetapkan halaman mana yang dibaca siapa pun karena tidak pernah melihat permintaannya.
Beri nama pengamatan sebelum merancang pengumpulan. Bidang yang dinamai menurut situs yang dikunjungi tetapi sebenarnya menyimpan nama yang telah diselesaikan adalah kesalahan masa depan, bukan kemudahan. Nama bidang hidup lebih lama daripada orang yang memilihnya, jadi pilih nama yang menggambarkan bukti, bukan kesimpulan.
Apa yang dapat dan tidak dapat didukung setiap catatan
Empat jenis catatan muncul di hampir setiap rancangan audit, dan masing-masing menjawab pertanyaan berbeda. Pisahkan keempatnya dalam laporan maupun dalam pipa, karena mencampurnya adalah cara temuan yang dapat dipertahankan menjadi memalukan.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Baca kolom terakhir secemat kolom tengah. Catatan aliran menggambarkan alamat dan port, dan pencarian balik sebuah alamat tidak merekonstruksi nama yang dipakai peramban, karena satu alamat dapat menampung banyak situs yang tidak berhubungan. Kueri resolver membuktikan bahwa sebuah pertanyaan diajukan, bukan bahwa sebuah halaman ditampilkan. Nama host yang terlihat selama negosiasi TLS juga bukan jalur permintaan terenkripsi.
Masing-masing adalah pengamatan nyata, dan tidak satu pun adalah pengamatan yang orang duga. Peramban yang bersikeras pada resolver terenkripsinya sendiri berada di luar cakupan yang dipantau, dan analisis tidak dapat memulihkan apa yang tidak pernah dilihat log. Celah itu masuk ke laporan sebagai batas yang dinyatakan, bukan sebagai catatan kaki.
Pencarian spekulatif dan jawaban dari cache
Peramban menyelesaikan nama lebih dulu, kadang tanpa memuat apa pun. Mereka juga menjawab dari cache tanpa mengirim kueri baru ke resolver yang Anda pantau, yang berarti tidak adanya kueri bukan tidak adanya kunjungan. Kedua perilaku mematahkan persamaan naif antara log DNS dan riwayat penjelajahan.
DNS melalui HTTPS menambah batas kedua: peramban atau aplikasi tamu dengan resolver sendiri tidak pernah bertanya apa pun kepada pencatat organisasi. Transaksi persis hanya datang dari peristiwa aplikasi itu sendiri atau dari proksi yang pencatatannya Anda dukung secara eksplisit. Terowongan HTTPS CONNECT biasa meninggalkan proksi tanpa pandangan apa pun atas jalur halaman di dalamnya. Memiliki jaringan bukan izin untuk mengganti model kepercayaan aplikasi secara diam-diam.
Alamat itu milik sesi, bukan orang
Catatan aliran yang membawa alamat dari rentang terowongan adalah titik awal, bukan jawaban. Gabungkan alamat dan stempel waktu itu dengan penetapan sesi yang aktif saat itu, karena alamat itu bisa dialokasikan ulang ke sesi lain sejam kemudian. Pengalamatan statis adalah satu cara menjaga kaitan itu dan bukan satu-satunya.
Ketika langkah penerjemahan merangkum beberapa perangkat menjadi satu alamat sumber di hulu sensor, penggabungan hanya dapat menyebut sesi gateway bersama. Akun bersama atau sertifikat yang dipakai beberapa orang membatasi atribusi seberapa pun lengkap data jaringan terlihat. Keduanya masuk ke laporan sebagai batas, bukan sebagai catatan untuk nanti.
Catat zona waktu, sumber jam, titik pengamatan, dan setiap batas penerjemahan di antaranya. Ketiadaan layak mendapat kehati-hatian yang sama dengan kehadiran, karena catatan yang hilang bisa berarti entri aliran kedaluwarsa, sensor tidak pernah melihat paketnya, atau log aplikasi dimatikan.
Rancang untuk tujuan yang dinyatakan, lalu buktikan pipa
Setelah pertanyaannya tetap, tetapkan bidang mana yang diperlukan, siapa yang boleh membacanya, dan berapa lama disimpan. Mengumpulkan lebih banyak karena penyimpanan murah menciptakan tanggung jawab yang hidup lebih lama daripada penyelidikan. Model privasi dalam RFC 6973 membingkai korelasi, salah atribusi, dan pengumpulan tak perlu sebagai masalah rancangan, bukan renungan belakangan.
Lindungi pemetaan dan catatan sebagai satu objek, karena masing-masing sendirian jauh kurang sensitif daripada pasangannya. Lalu validasi rancangan terhadap aktivitas yang boleh Anda hasilkan dan sudah Anda pahami, memakai kueri terkecil yang akan menjadi sandaran laporan. Pipa yang tidak dapat mereproduksi peristiwa yang diketahui juga tidak akan mereproduksi peristiwa yang tidak diketahui. Laporkan peristiwa yang didukung bukti, dengan kata-kata yang diizinkan bukti, dan biarkan pembaca mencapai kesimpulan yang lebih besar sendiri.
Tulis batasnya di samping temuan: apa yang digabungkan, apa yang diterjemahkan, dan log mana yang tetap diam. Temuan yang menyatakan batasnya sendiri bertahan dalam tinjauan yang tidak ditahan ringkasan percaya diri. Itulah perbedaan antara bukti dan cerita tentang bukti.