სად ქრება VPN-ის მომხმარებლის სახელი ჟურნალის მილსადენიდან?

სესიები დაფაზე ჩანს, მაშინ როცა მომხმარებლის სახელის სვეტი ცარიელი რჩება, და პირველი იმპულსი პარსერის დადანაშაულებაა. ეს იმპულსი გამოტოვებს სამ ადრინდელ საფეხურს, სადაც მნიშვნელობა შეიძლებოდა დაკარგულიყო. კარიბჭეს შეუძლია იდენტობა პოლიტიკით ნიღაბი აუფაროს, მიღების წესს შეუძლია ის ინდექსირებამდე წაშალოს, და ძიების დროის ამოღებამ შეიძლება უბრალოდ ვერ შეძლოს მისი დასახელება. გასწორება დამოკიდებულია იმაზე, რომელი საზღვარი შეგიძლიათ დაამტკიცოთ პასუხისმგებლად, ამიტომ სასარგებლო სამუშაო შედარებაა და არა კონფიგურაცია.

დაიწყეთ ერთი მოვლენით და არა დაფიდან

აირჩიეთ ერთი ავთენტიფიკაციის მოვლენა და ჩაწერეთ, რა იდენტიფიცირებს მას: კარიბჭის მოდელი და გამოშვება, ავთენტიფიკაციის მეთოდი, მოვლენის იდენტიფიკატორი, დროის ნიშანი და წყაროს მისამართი. დაამატეთ მომხმარებლის სახელი ზუსტად ისე, როგორც ადამიანმა აკრიფა, დიდი და პატარა ასოების ჩათვლით, რადგან ასოთა რეგისტრისადმი მგრძნობიარე ძიებამ შეიძლება დამალოს არსებული ველი. მიიჩნიეთ ეს მოვლენა მითითებად ყოველი შემდგომი შედარებისთვის.

მოვლენის ტიპებს საერთო სქემა არ აქვთ. წარუმატებელი მცდელობა, კლიენტის გარეშე წარმატებული შესვლა და გვირაბის ხელახალი დაკავშირება შეიძლება სხვადასხვა ველი წარმოქმნას, და ზოგი კარიბჭე გამოტოვებს იდენტობას, როცა მცდელობა მომხმარებლის ავთენტიფიკაციამდე არ მისულა. ამიტომ ერთი ტიპის მოვლენაზე ცარიელი სვეტი მილსადენის პრობლემის სუსტი მტკიცებულებაა.

იმუშავეთ დამტკიცებული სატესტო იდენტობით და არა ნამდვილი თანამშრომლის ანგარიშით, და შეინარჩუნეთ შედარება იმ წვდომის წესებში, რომლებიც უკვე მართავს ჟურნალის მონაცემებს. დეტალური ავთენტიფიკაციის ჟურნალირების ფართოდ ჩართვა მხოლოდ ნიმუშის მისაღებად ცვლის იმ სისტემას, რომლის გაზომვასაც ცდილობთ.

შეადარეთ ოთხი საზღვარი თანმიმდევრობით

მნიშვნელობა შეიძლება გაქრეს ოთხი წერტილიდან ერთში. თითოეულ წერტილს განსხვავებული მფლობელი და განსხვავებული გასწორება აქვს.

გაჩერდით პირველ საზღვარზე, სადაც მნიშვნელობა ქრება. შეუსაბამობა მოწყობილობის ხედვასა და დაუმუშავებელ ასლს შორის მიუთითებს ტრანსპორტზე ან შემგროვებლის კონფიგურაციაზე; იქ დამთხვევა, მაგრამ ინდექსირებულ მოვლენაში მნიშვნელობის არქონა მიუთითებს ტრანსფორმაციაზე; ინდექსირებულ მოვლენაში არსებული, მაგრამ დაფაზე არმყოფი მნიშვნელობა მიუთითებს ამოღებაზე ან მოთხოვნაზე.

ეს თანმიმდევრობა მნიშვნელოვანია, რადგან ყოველ შემდგომ საფეხურს მხოლოდ ინფორმაციის დაკარგვა შეუძლია და არასდროს მისი აღდგენა. რეგულარულ გამოსახულებას არ შეუძლია დააბრუნოს ის სტრიქონი, რომელიც ადრინდელმა საფეხურმა ჩანაცვლების ნიშნით შეცვალა, და კონფიდენციალურობის პარამეტრს არ შეუძლია ახსნას მნიშვნელობა, რომელიც არასდროს გაგზავნილა.

წყაროში ნიღბვა პოლიტიკაა და არა პარსერის შეცდომა

Cisco-ს ASA ჟურნალირების დოკუმენტაცია აღწერს მომხმარებლის სახელის დამალვას, როგორც კონფიგურირებად ქცევას, მათ შორის, როგორ წარმოდგება არასწორი ან უცნობი მომხმარებლის სახელები. ამიტომ წყაროს მოვლენაში ნიღბგადასული იდენტობა შეიძლება ზუსტად ის იყოს, რასაც კონფიდენციალურობის პოლიტიკა მოითხოვს, და მისი ანალიზის წარუმატებლობად მიჩნევა იწვევს მოთხოვნას, რომელიც ასუსტებს კონტროლს.

ზუსტი წარმოდგენა დამოკიდებულია გამოშვებაზე და შეტყობინების ტიპზე. ერთ მოვლენას შეიძლება ჩანაცვლების ნიშანი ჰქონდეს, მეორემ შეიძლება ველი საერთოდ გამოტოვოს, და ავთენტიფიკაციის წარუმატებლობას შეიძლება არასდროს ჰქონდეს სახელი. შეამოწმეთ კონკრეტული მოვლენის დოკუმენტირებული ქცევა და ნუ გამოიყენებთ ძველ ხარვეზის ანგარიშს ყოველ დაკარგულ იდენტობაზე.

როცა ნიღბვა განზრახ ხდება, კითხვა იცვლება — ველის აღდგენის ნაცვლად ჩნდება, შეიძლება თუ არა აუდიტის მოთხოვნის სხვაგვარად დაკმაყოფილება. სესიის იდენტიფიკატორები, უფრო მცირე ჯგუფის მიერ შენახული კონტროლირებადი იდენტობის რუკა ან ვიწრო ავტორიზებული მოვლენათა ნაკადი ხშირად აკმაყოფილებს საჭიროებას ყოველი მცდელი მომხმარებლის სახელის ყოველი ჟურნალის მკითხველის წინაშე დაყენების გარეშე.

ინდექსირებამდე ანონიმიზაცია ვერ გაუქმდება

Splunk-ის დოკუმენტაცია მოვლენათა დამუშავებაზე აღწერს ანონიმიზაციას sed გამოსახულებებით და ტრანსფორმაციებით, რომლებიც მონაცემებს ინდექსირებამდე გადაწერს ან შლის. ზუსტად ეს ადგილმდებარეობაა მთავარი: დაუმუშავებელი მოვლენა შემოსვლისას იცვლება, ამიტომ ძიების დროის ამოღებას საძებნი აღარაფერი რჩება.

ინდექსირების დროის რედაქტირება და ძიების დროის ველების ამოღება სხვადასხვა პრობლემას ხსნის. რედაქტირება ზღუდავს, ვის შეუძლია მნიშვნელობის ნახვა საერთოდ; ამოღება მხოლოდ წყვეტს, რომელ სახელს იყენებს მოთხოვნა. ჰეშირება შუალედური ვარიანტია, რომელიც ინარჩუნებს კორელაციას, მაგრამ სტაბილური ჰეში მცირე მომხმარებელთა სახელების სივრცეზე მაინც იდენტიფიცირებს, როცა ვინმეს შეუძლია მის წინააღმდეგ კანდიდატური სახელების შემოწმება.

თუ შენახული მოვლენა კვლავ შეიცავს იდენტობას, პრობლემა დინების ქვემოთაა: წყაროს ტიპი, ხაზების გაყოფა, გამყოფების დამუშავება, ველების ფსევდონიმები ან თავად მოთხოვნა. ეს ჩვეულებრივი ანალიზის გასწორებებია და კონფიდენციალურობის საზღვარს არ ეხება.

აირჩიეთ საზღვარს შესაბამისი გასწორება

სამი პირობა განსაზღვრავს პასუხს. პირველი, განიზრახავს კონფიდენციალურობის პოლიტიკა იდენტობის გამორიცხვას? მეორე, სჭირდება აუდიტის ან გამოძიების პროცესს იდენტობა, ფსევდონიმი თუ მხოლოდ სესია? მესამე, რომელ საზღვარზეა მნიშვნელობა საჭირო — შეგროვება, შენახვა თუ წარდგენა?

თუ პოლიტიკა გამორიცხვას გულისხმობს, შეცვალეთ მოთხოვნა ან წარდგენა და არა კონტროლი. თუ პოლიტიკა იდენტობას უშვებს, მაგრამ შეგროვება კარგავს მას, გაასწორეთ შემგროვებელი და დაადასტურეთ დაუმუშავებელი მოვლენა. თუ შენახვა უცვლელია, გაასწორეთ ამოღება და შეამოწმეთ ის დასაწყისში დაფიქსირებული დამტკიცებული მოვლენის წინააღმდეგ.

დახურეთ გამოძიება ცვლილების ჩანაწერში საზღვრის დასახელებით: წყაროში ნიღბგადასული, მიღების დროს წაშლილი, ან ამოღების მიერ გამოტოვებული. ეს ერთი წინადადება ეუბნება შემდეგ ინჟინერს, სად უნდა შეხედოს პირველად, და ხელს უშლის დაფის ჩივილის გადაქცევას ჩუმად გამორთულ კონფიდენციალურობის ფუნქციად.