Conservazione dei log VPN: legala all’incidente, non a un numero
La conservazione segue l’incidente, il contenuto e la policy, non una scadenza universale. Trova ogni copia, ferma la raccolta dettagliata e tieni un breve verbale.
Nessuno chiede davvero per quanto tempo conservare un log VPN; chiedono a cosa serve il log, e la risposta a questo fissa la data. Da un solo incidente possono uscire due file con vite diverse, e trattarli come un’unica policy produce sia una conservazione eccessiva sia una perdita di prove. Un’esportazione di debug acquisita mentre la causa era sconosciuta non è lo stesso artefatto di una riga in un archivio di monitoraggio. Parti dallo scopo, poi scegli la data.
Rispondi a quattro domande prima di scegliere una data
Quattro domande decidono se un file resta: l’incidente è ancora aperto, cosa contiene il file, chi deve leggerlo, e cosa richiede la policy applicabile. Rispondi in quest’ordine e la data di conservazione esce da sé. Il ragionamento sta in una tabella:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Finché l’incidente è aperto, tieni un originale protetto per poter confrontare eventi o rispondere più tardi a una domanda del supporto, e assegnagli un proprietario e uno scopo per iscritto. Per chiunque sia fuori dal team di risposta di solito basta un breve estratto redatto, ed è molto più facile da difendere dell’esportazione completa. L’originale e l’estratto sono artefatti separati con pubblici separati, ed è la loro fusione a creare sia la conservazione eccessiva sia la perdita di prove. La policy fissa una soglia minima, quindi se richiede più tempo del tuo ragionamento, vince la policy.
Chiudi l’incidente con un verbale, non con un’esportazione
Scrivi nel ticket un verbale di quattro righe: il sintomo, il client e la versione, l’unica riga di errore che lo ha identificato, e la correzione. Non allegare nient’altro, perché l’esportazione era per te e il verbale è per la persona successiva.
Il verbale ha anche più probabilità di essere letto: l’esportazione completa serve soprattutto a chi l’ha acquisita, e quella persona sa già cos’è successo. Tieni il verbale dove si cercherà il prossimo incidente, il che di solito significa il ticket e non una cartella intitolata a una data. Un numero di caso può portare il riferimento se il verbale deve essere tracciabile senza esporre un identificatore di connessione. Se una domanda è ancora aperta, l’originale resta sotto la regola della copia protetta qui sopra; una volta che il verbale esiste, tutto il resto può andare.
Trova ogni copia prima di cancellarne una
Guarda nella cartella di esportazione, poi nel giornale della finestra dell’incidente, poi negli allegati del ticket, poi nel catalogo dei backup, poi nell’archivio di monitoraggio. Se lo stesso identificatore di connessione compare in un quinto posto, l’inventario era sbagliato. Il giornale è la sorpresa abituale, perché ha continuato a raccogliere mentre leggevi l’esportazione.
Usa il percorso di rotazione e cancellazione supportato invece di scollegare i file a mano. Un file ancora aperto conserva il suo spazio dopo che la voce di directory scompare, quindi la cancellazione sembra completa e non libera nulla. È un difetto di archiviazione con etichetta di privacy, e non soddisfa nessuno dei due obiettivi.
Ferma la raccolta prima di verificare la cancellazione
Ferma la raccolta dettagliata temporanea tramite l’applicazione che la possiede, non modificando il suo file di output. Un’impostazione di debug dimenticata continua a scrivere nuovi record dopo che i vecchi sono stati rimossi, il che annulla in silenzio il lavoro appena fatto. Controlla il livello di log effettivo e non il valore che ricordi di aver impostato. Poi conferma che ciò che resta è protetto e che solo le persone previste possono recuperarlo.
Il principio è la minimizzazione dei dati: tieni ciò che uno scopo dichiarato richiede, per il tempo che gli serve, e nulla di più, così come lo formulano le linee guida sulla privacy RFC 6973. Un file conservato senza scopo è una responsabilità con un timestamp. La decisione è conclusa quando sai nominare il file, il suo scopo, il suo proprietario e la sua data di fine.