VPN ჟურნალების შენახვა: მიაბით ის ინციდენტს და არა რიცხვს
შენახვა გამომდინარეობს ინციდენტიდან, შიგთავსიდან და პოლიტიკიდან და არა უნივერსალური ვადიდან. იპოვეთ ყველა ასლი, შეაჩერეთ დეტალური შეგროვება და შეინახეთ მოკლე ჩანაწერი.
რეალურად არავინ არ იკითხავს, რამდენ ხანს შევინახოთ VPN ჟურნალი; ისინი იკითხავენ, რისთვის არის ჟურნალი და ამაზე პასუხი განსაზღვრავს თარიღს. ერთი ინციდენტიდან შეიძლება ორი განსხვავებული სიცოცხლის მქონე ფაილი გამოვიდეს და მათი ერთ პოლიტიკად განხილვა ერთდროულად იწვევს ზედმეტ შენახვას და მტკიცებულებების დაკარგვას. გამართვის ექსპორტი, რომელიც მაშინ აიღეს, როცა მიზეზი უცნობი იყო, არ არის იგივე არტეფაქტი, რაც მონიტორინგის საცავში არსებული სტრიქონი. დაიწყეთ მიზნიდან, შემდეგ აირჩიეთ თარიღი.
თარიღის არჩევამდე უპასუხეთ ოთხ კითხვას
ოთხი კითხვა წყვეტს, დარჩება თუ არა ფაილი: ღიაა ინციდენტი ჯერ კიდევ, რას შეიცავს ფაილი, ვის უნდა წაიკითხოს ის და რას მოითხოვს მოქმედი პოლიტიკა. უპასუხეთ ამ თანმიმდევრობით და შენახვის თარიღი თავისით გამოვა. დასაბუთება ცხრილში ეტევა:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
სანამ ინციდენტი ღიაა, შეინახეთ ერთი დაცული ორიგინალი, რათა მოგვიანებით შეძლოთ მოვლენების შედარება ან მხარდაჭერის კითხვაზე პასუხის გაცემა, და მიეცით მას მფლობელი და მიზანი წერილობით. პასუხის გუნდის გარეთ მყოფი ნებისმიერი ადამიანისთვის ჩვეულებრივ საკმარისია მოკლე რედაქტირებული ამონაწერი და მისი დაცვა გაცილებით ადვილია, ვიდრე სრული ექსპორტის. ორიგინალი და ამონაწერი ცალკეული არტეფაქტებია ცალკეული აუდიტორიით და სწორედ მათი გაერთიანება ქმნის ერთდროულად ზედმეტ შენახვას და მტკიცებულებების დაკარგვას. პოლიტიკა ქვედა ზღვარს ადგენს, ამიტომ თუ ის თქვენს დასაბუთებაზე მეტ ხანს მოითხოვს, პოლიტიკა იმარჯვებს.
დახურეთ ინციდენტი ჩანაწერით და არა ექსპორტით
ბილეთში ჩაწერეთ ოთხსტრიქონიანი ჩანაწერი: სიმპტომი, კლიენტი და ვერსია, ერთადერთი შეცდომის სტრიქონი, რომელმაც ის გამოავლინა, და გამოსწორება. სხვა არაფერი მიამაგრეთ, რადგან ექსპორტი თქვენთვის იყო, ჩანაწერი კი შემდეგი ადამიანისთვის.
ჩანაწერის წაკითხვის ალბათობაც მეტია: სრული ექსპორტი ძირითადად მას ემსახურება, ვინც ის აიღო და მან უკვე იცის, რა მოხდა. შეინახეთ ჩანაწერი იქ, სადაც შემდეგი ინციდენტის დროს მოძებნიან, რაც ჩვეულებრივ ნიშნავს ბილეთს და არა თარიღის სახელწოდების საქაღალდეს. საქმის ნომერს შეუძლია ატაროს მითითება, თუ ჩანაწერი უნდა იყოს თვალყურის სადევი დაკავშირების იდენტიფიკატორის გამჟღავნების გარეშე. თუ რომელიმე კითხვა ჯერ კიდევ ღიაა, ორიგინალი რჩება ზემოთ მოცემული დაცული ასლის წესის ქვეშ; როგორც კი ჩანაწერი არსებობს, დანარჩენი ყველაფერი შეიძლება წავიდეს.
სანამ ერთს წაშლით, იპოვეთ ყველა ასლი
შეხედეთ ექსპორტის საქაღალდეში, შემდეგ ინციდენტის ფანჯრის ჟურნალში, შემდეგ ბილეთის დანართებში, შემდეგ სარეზერვო კატალოგში, შემდეგ მონიტორინგის საცავში. თუ იგივე დაკავშირების იდენტიფიკატორი მეხუთე ადგილას აღმოჩნდა, ინვენტარიზაცია მცდარი იყო. ჟურნალი ჩვეულებრივი სიურპრიზია, რადგან ის აგრძელებდა შეგროვებას, სანამ თქვენ ექსპორტს კითხულობდით.
გამოიყენეთ მხარდაჭერილი როტაციისა და წაშლის გზა და არა ფაილების ხელით მოწყვეტა. ჯერ კიდევ ღია ფაილი ინარჩუნებს თავის საცავს მას შემდეგ, რაც დირექტორიის ჩანაწერი ქრება, ამიტომ წაშლა სრულად გამოიყურება და არაფერს ათავისუფლებს. ეს კონფიდენციალურობის იარლიყიანი საცავის ხარვეზია და არც ერთ მიზანს არ აკმაყოფილებს.
წაშლის შემოწმებამდე შეაჩერეთ შეგროვება
დროებითი დეტალური შეგროვება შეაჩერეთ იმ აპლიკაციის მეშვეობით, რომელიც მას ფლობს და არა მისი გამომავალი ფაილის რედაქტირებით. დავიწყებული გამართვის პარამეტრი აგრძელებს ახალი ჩანაწერების წერას ძველის წაშლის შემდეგ, რაც ჩუმად აუქმებს ახლახან შესრულებულ სამუშაოს. შეამოწმეთ ფაქტობრივი ჟურნალიზაციის დონე და არა ის მნიშვნელობა, რომელიც გახსოვთ, რომ დააყენეთ. შემდეგ დაადასტურეთ, რომ დარჩენილი დაცულია და მხოლოდ განზრახული პირები შეძლებენ მის მიღებას.
პრინციპი მონაცემთა მინიმიზაციაა: შეინახეთ ის, რაც გამოცხადებულ მიზანს სჭირდება, იმ ხნით, რამდენითაც სჭირდება და მეტი არაფერი, როგორც ამას RFC 6973 კონფიდენციალურობის სახელმძღვანელო აყალიბებს. მიზნის გარეშე შენახული ფაილი დროის ნიშნის მქონე ვალდებულებაა. გადაწყვეტილება დასრულებულია, როცა შეგიძლიათ დაასახელოთ ფაილი, მისი მიზანი, მფლობელი და დასრულების თარიღი.