Að velja HTTP-sönnun: gáttarskrár eða forritsskrár

Vefvöktun hefst með tilgangi, ekki upptökupunkti. Að telja virka biðlara, tímasetja API-kall og lesa skeytamengi krefst hvert um sig annarrar sönnunar og annarra persónuverndarákvarðana. Gátt sem framsendir varið HTTPS sér tengingar en ekki síðuefni. Að velja ranga lag bar gefur gögn sem líta ríkulega út og svara engu.

Nefndu spurninguna fyrir gagnaupprunann

Byrjaðu á rekstrarákvörðuninni sem gögnin eiga að styðja. Fyrirliggjandi spurningar þurfa talningar og tíma, beiðnispurningar þurfa slóðir og stöðukóða, og efnisspurningar þurfa skeytamengi. Sérhvert skref inn á við bætir við næmi og verkfræðilegum flækjum. Fáðu þjónustueigandann og öryggiseigandann til að samþykkja áhorfendur, tilgang og meðferð áður en söfnun hefst, því að reka göngin er ekki sú ákvörðun.

Skrifaðu spurninguna í einni setningu og haltu henni við söfnunaráætlunina. Hún er eina áreiðanlega umfangsstýringin.

Hvað gáttin getur og getur ekki sýnt

Gátt sem framsendir rétt varið HTTPS sér venjulega vistföng, gáttir og rúmmál, ekki beiðnarlínur eða mengi.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

conntrack-listinn sýnir flæði og þýðingar, og stutta upptakan sýnir pakka án læsilegs forritsefnis. Það nægir til að svara hvort umferð streymir, hversu mikið og milli hverra endapunkta. Það er ekki listi yfir URL, og venjulegur CONNECT-milliþjónn framsendir duldu skiptin án þess að ljúka TLS forritsins. Þegar einhver lofar beiðnaslóðum frá þeirri stöðu, spurðu hvaða eining dulráðar og undir hvers trausti.

Forritsskrár svara flestum beiðnispurningum

Fyrir forrit sem þú rekur svarar eigin studd skráning þess venjulega spurningunni á beiðnistigi án þess að dulráða tengingar annarra.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Heilsubeiðnin mælir framboð frá stöðu biðlara, og aðgangsskráin skráir reiti sem þjónninn hafði þegar valið að geyma. Veldu reitina sem verkefnið þarf og slepptu hinum, því að jafnvel URL getur borið viðkvæmar breytur. Skráarlína er sönnun um þá þjónustu, ekki um hverja aðra þjónustu sem notandinn náði í gegnum göngin. Að halda söfnunni þröngri heldur líka geymsluspurningunni lítilli, svo settu glugga styttri en hugsunartilraunin sem framleiddi kröfuna.

Afhlun er sérstök traustshönnun

Ef skoðun á skeytastigi er sannarlega nauðsynleg býr TLS-afhlun til nýjan traustan endapunkt og biðlaratroustssamkomulag sem þarf að dreifa og viðhalda. Forrit sem festa vottorð munu brotna, og rekstraraðilinn heldur nú einkalyklum sem vernd þeirra skiptir jafn miklu og hver annar þjónlykill. Að láta söfnunina virka með því að veikja vottorðasannprófun eða plástra forrit sem festir vottorð sín skiptir öryggisstýringu á skráarlínu. Veldu skjalfesta skoðunarhönnun þar sem dreifingu trausts er þegar stjórnað, og haltu einkalykli yfirvaldsins utan við allt sem deilt er.

Í lok söfnunargluggans skaltu fjarlægja uppsetninguna og traustsefni hennar í gegnum eigendur þeirra, og farga geymdri sönnun samkvæmt samþykktri stefnu. Nægjanleg áreiðanleg upplýsingar í tilgreindum tilgangi eru árangursviðmiðið, ekki stærsta mögulega upptakan.