Apa yang dapat dan tidak dapat dibuktikan log VPN tentang penjelajahan

Sebelum memilih pengumpul log, tentukan peristiwa mana yang harus dibuktikan audit. Menanyakan sesi VPN mana yang menghubungi alamat tujuan berbeda dari menanyakan orang mana yang membuka halaman tertentu. Keduanya memerlukan catatan berbeda, penggabungan berbeda, dan tingkat keyakinan berbeda. Log koneksi OpenVPN menjawab yang pertama dan tidak dapat menjawab yang kedua.

Namai peristiwanya sebelum memilih pengumpul

Catatan sesi menunjukkan identitas yang diterima, waktu mulai dan berakhir, serta alamat yang diberikan server menurut kebijakannya sendiri. Log resolver menunjukkan bahwa sebuah nama ditanyakan pada resolver itu. Catatan aliran menunjukkan alamat, port, protokol, dan waktu, dan log aplikasi menunjukkan transaksi yang benar-benar ditangani aplikasi tersebut. Tidak satu pun dari keempatnya menggantikan yang lain.

Masing-masing membuktikan satu peristiwa dan membiarkan yang lain terbuka. Menuliskan pertanyaannya lebih dahulu mencegah Anda menyusun cerita yang tidak dapat didukung data.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Perintah pertama menampilkan peristiwa sesi dari jurnal layanan. Perintah kedua mencetak daftar klien saat ini beserta alamat yang diberikan, yaitu pemetaan yang menjadi dasar penggabungan audit. Perintah ketiga menampilkan status aliran langsung, yang hanya berguna selama koneksi masih ada.

Pencarian bukan kunjungan

Peramban menyelesaikan nama secara spekulatif, menyimpan jawaban di cache, dan menggunakannya kembali tanpa bertanya lagi kepada resolver yang dipantau. Karena itu nama dalam log resolver membuktikan pencarian, bukan kunjungan. DNS melalui HTTPS memperlebar celah itu, sebab peramban yang dikonfigurasi untuk itu mengirim pertanyaannya ke tempat yang tidak pernah dilihat pencatat log biasa Anda.

Alamat tujuan tidak lebih baik dengan sendirinya. Satu alamat dapat menjadi tuan rumah banyak situs yang tidak berhubungan, DNS terbalik adalah dugaan dan bukan rekonstruksi, dan nama host yang terlihat selama jabat tangan TLS bukan jalur permintaan di dalam sesi terenkripsi.

Untuk transaksi yang tepat Anda memerlukan catatan peristiwa milik aplikasi itu sendiri atau rancangan proksi yang secara eksplisit didukung untuk pencatatan. Terowongan CONNECT memberi proksi tujuan dan volume, bukan jalur halaman di dalamnya. Akses administratif ke jaringan bukan lisensi untuk diam-diam mengganti model kepercayaan aplikasi.

Gabungkan identitas dan waktu sebelum menyebut seseorang

Catatan aliran yang membawa alamat sumber internal tidak berarti apa pun sampai alamat itu digabungkan dengan sesi pada waktu yang sama. Alamat dipakai ulang, dan alamat yang sama mungkin milik sesi lain satu jam sebelumnya. Penetapan statis adalah salah satu cara mempertahankan kaitan, bukan satu-satunya.

Batas terjemahan melemahkan penggabungan lebih jauh. Jika beberapa perangkat sudah berbagi satu alamat sumber sebelum titik pengamatan Anda, yang terbaik yang dapat Anda identifikasi adalah sesi gerbang bersama, bukan satu perangkat. Sertifikat atau akun yang dipakai beberapa orang memiliki efek yang sama.

Catat zona waktu, sumber jam, titik pengamatan, dan setiap lompatan terjemahan. Catatan yang hilang dapat berarti entri aliran sudah kedaluwarsa, sensor dilewati, atau log aplikasi dimatikan. Ketiadaan bukan bukti bahwa tidak terjadi apa-apa.

Lalu tetapkan bidang minimum, pembaca yang diizinkan, dan masa retensi untuk tujuan yang dinyatakan. Korelasi dan salah atribusi adalah persoalan desain dan bukan pikiran belakangan, dan metadata yang mengidentifikasi orang layak mendapat perlindungan yang sama dengan pemetaan identitas yang menjadi sandarannya.

Uji audit dengan aktivitas yang Anda kendalikan

Hasilkan lalu lintas yang diizinkan yang sesi dan aplikasinya sudah Anda ketahui, lalu periksa apa yang benar-benar ditangkap setiap catatan. Lakukan pencarian tanpa memuat halaman, muat halaman dari cache, dan buka koneksi melalui proksi, lalu lihat peristiwa mana yang muncul.

Laporkan peristiwa yang didukung bukti dan katakan apa yang tidak dicakupnya. Catatan sederhana dengan cakupan yang dinyatakan bertahan dalam tinjauan; riwayat penjelajahan ambisius yang disusun dari dugaan tidak bertahan.