HTTP მტკიცებულებების არჩევა: გეითვეის ჩანაწერები თუ აპლიკაციის ჟურნალები

ვებმონიტორინგი მიზნით იწყება, და არა დაჭერის წერტილით. აქტიური კლიენტების დათვლა, API ზარს ტაიმინგი და შეტყობინების ტანის კითხვა — თითოეულს სხვა მტკიცებულება და სხვა კონფიდენციალურობის გადაწყვეტილება სჭირდება. გეითვეი, რომელიც დაცულ HTTPS-ს გადადგება, კავშირებს ხედავს და არა გვერდის შინაარსს. არასწორი შრის არჩევა იძლევა მონაცემებს, რომლებიც მდუღარეებად გამოიყურება და არაფერს პასუხობს.

კითხვას სახელი დაუდეთ მონაცემთა წყაროზე ადრე

დაიწყეთ იმ ოპერაციული გადაწყვეტილებიდან, რომელსაც მონაცემები უნდა ეყრდნობოდეს. ხელმისაწვდომობის კითხვებს დათვლა და დროები სჭირდება, მოთხოვნის კითხვებს — გზები და სტატუს კოდები, შინაარსის კითხვებს კი — შეტყობინების ტანი. შინაგანად ყველა ნაბიჯი სენსიტიურობას და ინჟინერულ რთულობას ულებს. შეგროვების დაწყებამდე მომსახურების მფლობელმა და უსაფრთხოების მფლობელმა დამტკიცოს აუდიტორია, მიზანი და მოედება, რადგან გვირაბის შესრულება არ არის იმ გადაწყვეტილება.

კითხვა ერთ წინადადებით დაწერეთ და შეგროვების გეგმის გვერდით დატოვეთ. ეს არის ფარგლის ერთადერთი სანდო კონტროლი.

რა შეიძლება გეითვეიმ და რა ვერ

გეითვეი, რომელიც სწორად დაცულ HTTPS-ს გადადგება, ჩვეულებრივ ხედავს მისამართებს, პორტებს და მემბარებს, და არა მოთხოვნის ხაზებს ან ტანს.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

conntrack-ის სია ნაკადებს და გარდაქმნებს აჩვენებს, ხოლო მოკლე დაჭერა — პაკეტებს, წასაკითხი აპლიკაციის შინაარსის გარეშე. ეს საკმარისია პასუხისთვის, ტრაფიკი ხომ ნაკადობს, რამდენად და რომელ განგება პუნქტებს შორის. URL-ების სია არაა ეს, და ჩვეულებრივი CONNECT-პროქსი დაშიფრულ გაცვლას გადადგება აპლიკაციის TLS-ის შესრულების გარეშე. როცა ვინმე ასეთი პოზიციიდან მოთხოვნის გზებს იძუნებს, იკითხეთ რომელი კომპონენტი შიფრს ხსნის და როგორ უნდობლობის ქვეშ.

აპლიკაციის ჟურნალები მოთხოვნის კითხვებს უმეტესობას პასუხობს

აპლიკაციისთვის, რომელსაც თქვენ ოპერირებთ, მისი საკუთარი მოწყობილი ჟურნალიზაცია ჩვეულებრივ პასუხობს მოთხოვნის დონის კითხვას სხვების კავშირების გაშიფრავების გარეშე.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

ჯანმრთელობის მოთხოვნა ხელმისაწვდომობას კლიენტის პოზიციიდან ზედავს, და წვდომის ჟურნალი იმ ველებს იწერებს, რომლებიც სერვერმა უკვე შესაცვლელად აირჩია. ამოცანისთვის საჭირო ველები აირჩიეთ და დანარჩენი გარე დატოვეთ, რადგან თუნდაც URL-ს შეიძლება სენსიტიური პარამეტრები ემგზავნა. ჟურნალის ხაზი იმ სერვისის მტკიცებულებაა, და არა ყოველი სხვა სერვისის, რომელსაც მომხმარებელი გვირაბით მოძღვა. შეგროვების ვიწროდ დატოვება შენარჩუნების კითხვასაც პატარას დატოვებს, ამიტომ დაქირავებული ფანჯარა გონების ექსპერიმენტზე მოკლეა, რომელმაც მოთხოვნა შეასრულა.

გამოსძალვა ცალკე ნდობის დიზაინია

თუ შეტყობინების დონის ინსპექცია ნამდვილად საჭიროა, TLS გამოსძალვა ახალ სანდო საბოლოო პუნქტს და კლიენტის ნდობის შეთანხმებას შეჰქმნის, რომელიც უნდა გადაეცეს და შეაჩეროს. სერტიფიკატებს ფიქსირებული აპლიკაციები გატყდებიან, და ოპერატორს ახლა კერძო გასაღები ჰყავს, რომელთა დაცვა ნებისმიერი სერვერის გასაღებიის ღირსება. შეგროვება სერტიფიკატების ადგილმეობის შემცირებით ან სერტიფიკატების ფიქსირებული აპლიკაციის პილინგით ნდობის კონტროლს ჟურნალის ხაზითმა ცვლის. მართული ნდობის გავრცელებით დოკუმენტირებული ინსპექციის დიზაინი აირჩიეთ, და ორგანოს კერძო გასაღები ყველაფერ საერთოშიის გარე დატოვეთ.

შეგროვების ფანჯერის დასრულებაზე, კონფიგურაცია და მისი ნდობის მატერია მფლობელების მეშვეობით მოაკლეთ, და დატოვებული მტკიცებულებები შეთანხმებული პოლიტიკით გასაკუთრეთ. განაცხადებული მიზნისთვის საკმარისი სანდო ინფორმაცია წარმატების კრიტერიუმია, და არა ყველაზე დიდი შესაძლო დაჭერა.