Ke mana nama pengguna VPN menghilang dari alur log?

Sesi muncul di dasbor sementara kolom nama pengguna tetap kosong, dan dorongan pertama adalah menyalahkan pengurai. Dorongan itu melewati tiga tahap sebelumnya tempat nilai itu bisa hilang. Gateway dapat menyamarkan identitas berdasarkan kebijakan, aturan penyerapan dapat menghapusnya sebelum pengindeksan, dan ekstraksi saat pencarian bisa saja gagal menamainya. Perbaikan bergantung pada batas mana yang dapat Anda buktikan bertanggung jawab, jadi pekerjaan yang berguna adalah perbandingan, bukan konfigurasi.

Mulai dari satu peristiwa, bukan dari dasbor

Pilih satu peristiwa autentikasi dan catat apa yang mengidentifikasinya: model dan rilis gateway, metode autentikasi, pengenal peristiwa, stempel waktu, dan alamat sumber. Tambahkan nama pengguna persis seperti yang diketik orang tersebut, termasuk huruf besar dan kecil, karena pencarian yang peka huruf dapat menyembunyikan bidang yang sebenarnya ada. Perlakukan peristiwa itu sebagai acuan untuk setiap perbandingan berikutnya.

Jenis peristiwa tidak berbagi skema yang sama. Percobaan gagal, login tanpa klien yang berhasil, dan penyambungan ulang terowongan dapat menghasilkan bidang yang berbeda, dan sebagian gateway menghilangkan identitas ketika percobaan tidak pernah mencapai autentikasi pengguna. Kolom kosong pada satu jenis peristiwa karena itu bukti lemah adanya masalah alur.

Bekerjalah dengan identitas uji yang disetujui, bukan akun karyawan sungguhan, dan jaga perbandingan tetap di dalam aturan akses yang sudah mengatur data log. Mengaktifkan pencatatan autentikasi terperinci secara luas hanya untuk memperoleh sampel mengubah sistem yang hendak Anda ukur.

Bandingkan keempat batas secara berurutan

Nilai itu dapat hilang pada salah satu dari empat titik. Setiap titik memiliki pemilik dan perbaikan yang berbeda.

Berhenti pada batas pertama tempat nilai itu menghilang. Ketidakcocokan antara tampilan perangkat dan salinan mentah menunjuk pada transportasi atau konfigurasi pengumpul; kecocokan di sana tetapi nilai hilang pada peristiwa terindeks menunjuk pada transformasi; nilai yang ada pada peristiwa terindeks tetapi tidak ada di dasbor menunjuk pada ekstraksi atau kueri.

Urutan ini penting karena setiap tahap berikutnya hanya dapat kehilangan informasi, tidak pernah memulihkannya. Ekspresi reguler tidak dapat memulihkan string yang diganti tahap sebelumnya dengan penanda tempat, dan pengaturan privasi tidak dapat menjelaskan nilai yang tidak pernah dikirim.

Penyamaran di sumber adalah kebijakan, bukan bug pengurai

Dokumentasi pencatatan ASA dari Cisco menjelaskan penyembunyian nama pengguna sebagai perilaku yang dapat dikonfigurasi, termasuk bagaimana nama pengguna tidak valid atau tidak dikenal ditampilkan. Identitas tersamar pada peristiwa sumber karena itu bisa persis seperti yang diminta kebijakan privasi, dan memperlakukannya sebagai kegagalan penguraian mengarah pada permintaan yang melemahkan kendali tersebut.

Representasi tepatnya bergantung pada rilis dan jenis pesan. Satu peristiwa dapat membawa penanda tempat, peristiwa lain dapat menghilangkan bidang itu sepenuhnya, dan kegagalan autentikasi mungkin tidak pernah menyertakan nama. Periksa perilaku yang terdokumentasi untuk peristiwa tertentu daripada menerapkan laporan bug lama pada setiap identitas yang hilang.

Ketika penyamaran memang disengaja, pertanyaannya berubah dari bagaimana memulihkan bidang menjadi apakah persyaratan audit dapat dipenuhi dengan cara lain. Pengenal sesi, pemetaan identitas terkendali yang dipegang kelompok lebih kecil, atau umpan peristiwa berizin yang lebih sempit sering memenuhi kebutuhan tanpa menempatkan setiap nama pengguna yang dicoba di depan setiap pembaca log.

Anonimisasi sebelum pengindeksan tidak dapat dibatalkan

Dokumentasi Splunk tentang pemrosesan peristiwa menjelaskan anonimisasi melalui ekspresi sed dan transformasi yang menulis ulang atau menghapus data sebelum diindeks. Justru penempatan itulah intinya: peristiwa mentah diubah saat masuk, sehingga ekstraksi saat pencarian tidak punya apa pun lagi untuk ditemukan.

Penyuntingan saat pengindeksan dan ekstraksi bidang saat pencarian menyelesaikan masalah yang berbeda. Penyuntingan membatasi siapa yang bisa melihat nilainya sama sekali; ekstraksi hanya memutuskan nama mana yang dipakai kueri. Hashing adalah pilihan tengah yang mempertahankan korelasi, tetapi hash stabil atas ruang nama pengguna yang kecil tetap mengidentifikasi ketika seseorang dapat menguji nama kandidat terhadapnya.

Jika peristiwa yang tersimpan masih memuat identitas, masalahnya ada di hilir: jenis sumber, pemecahan baris, penanganan pemisah, alias bidang, atau kueri itu sendiri. Itu perbaikan penguraian biasa dan tidak menyentuh batas privasi.

Pilih perbaikan yang sesuai dengan batas

Tiga kondisi menentukan respons. Pertama, apakah kebijakan privasi bermaksud mengecualikan identitas? Kedua, apakah proses audit atau investigasi memerlukan identitas, nama samaran, atau hanya sesi? Ketiga, pada batas mana nilainya diperlukan — pengumpulan, penyimpanan, atau penyajian?

Jika kebijakan bermaksud mengecualikan, ubah persyaratan atau penyajiannya, bukan kendalinya. Jika kebijakan mengizinkan identitas tetapi pengumpulan menjatuhkannya, perbaiki pengumpul dan pastikan peristiwa mentahnya. Jika penyimpanan utuh, perbaiki ekstraksi dan ujilah terhadap peristiwa yang disetujui yang Anda tangkap di awal.

Tutup penyelidikan dengan menamai batasnya dalam catatan perubahan: disamarkan di sumber, dihapus selama penyerapan, atau terlewat oleh ekstraksi. Satu kalimat itu memberi tahu insinyur berikutnya ke mana harus melihat lebih dulu, dan mencegah keluhan dasbor berubah menjadi fitur privasi yang dimatikan diam-diam.