VPN журналы шолу тарихын көрсете ала ма? Дәлелдер нені дәлелдейді
Сессия журналы, шешуші сұранысы және ағын жазбасы әртүрлі нәрсені дәлелдейді. Сұрақты таңдап, сәйкестік пен уақытты байланыстырып, тек көрсетілгенді айтыңыз.
Аудиттің екі сұрағы ұқсас естіледі және әртүрлі дәлелді қажет етеді. Қай сессия бұл мекенжайға қосылғанын байланыс және ағын жазбаларынан жауап беруге болады. Қай адам бұл бетті ашқанын әдетте болмайды, кем дегенде бұл жазбалардан емес. Сұрақты таңдамай тұрып жинаушыны таңдау — желілік топтың хост атауын шолу тарихы ретінде ұсынуға әкелетін жол.
Аудит дәлелдеуге тиіс оқиғадан бастаңыз
Сұрақты бастауышы, баяндауышы және уақыты бар сөйлем ретінде жазыңыз. Тек осы тәртіп сессия жазбасы мен бетті қарау арасындағы алшақтықты ашады. Сессия журналы сәйкестіктің белгілі бір аралыққа, тіркелген саясат бойынша берілген мекенжаймен қабылданғанын анықтайды, бірақ кімнің қай бетті оқығанын анықтай алмайды, себебі ол сұранысты ешқашан көрмеген.
Жинауды жобаламас бұрын бақылауға атау беріңіз. Кірген сайттың атымен аталған, бірақ шын мәнінде шешілген атауды сақтайтын өріс — ыңғайлылық емес, болашақ қате. Өріс атаулары оларды таңдаған адамдардан ұзақ өмір сүреді, сондықтан қорытындыны емес, дәлелді сипаттайтын атауларды таңдаңыз.
Әр жазба нені қолдай алады және нені қолдай алмайды
Кез келген аудит жобасында дерлік төрт жазба түрі кездеседі және әрқайсысы басқа сұраққа жауап береді. Оларды есепте де, өңдеу ағынында да бөлек ұстаңыз, себебі оларды араластыру қорғануға болатын тұжырымды ұяттыға айналдырады.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Соңғы бағанды ортаңғы баған сияқты мұқият оқыңыз. Ағын жазбасы мекенжайлар мен порттарды сипаттайды, ал мекенжайды кері іздеу браузер пайдаланған атауды қалпына келтірмейді, себебі бір мекенжай көптеген байланыссыз сайттарды орналастыра алады. Шешуші сұранысы сұрақ қойылғанын дәлелдейді, бет көрсетілгенін емес. TLS келіссөзінде көрінетін хост атауы да шифрланған сұраныс жолы емес.
Осылардың әрқайсысы нақты бақылау, және ешқайсысы адамдар болжайтын бақылау емес. Өз шифрланған шешушісіне сенетін браузер бақыланатын аймақтан тыс тұрады, ал талдау журнал ешқашан көрмегенді қалпына келтіре алмайды. Бұл алшақтық есепте сілтеме емес, жарияланған шек ретінде орын алуы керек.
Алдын ала сұраныстар және кэштен алынған жауаптар
Браузерлер атауларды алдын ала шешеді, кейде ештеңе жүктемей-ақ. Олар кэштен де жауап береді, сіз бақылап отырған шешушіге жаңа сұраныс жібермей, яғни сұраныстың болмауы кірудің болмауы емес. Екі мінез-құлық та DNS журналы мен шолу тарихы арасындағы қарапайым теңдеуді бұзады.
HTTPS үстіндегі DNS екінші шекара қосады: өз шешушісі бар браузер немесе қонақ қолданба ұйымның тіркеушісінен ештеңе сұрамайды. Нақты транзакциялар тек қолданбаның өз оқиғаларынан немесе журналдауын сіз анық қолдайтын проксиден келеді. Қарапайым HTTPS CONNECT туннелі проксиді ішіндегі бет жолдарының ешбір көрінісінсіз қалдырады. Желіге ие болу қолданбаның сенім үлгісін үнсіз ауыстыруға рұқсат емес.
Мекенжай сессияға тиесілі, адамға емес
Туннель ауқымынан мекенжай тасымалдайтын ағын жазбасы жауап емес, бастапқы нүкте. Сол мекенжай мен уақыт белгісін сол сәтте белсенді сессия тағайындауымен байланыстырыңыз, себебі бұл мекенжай бір сағаттан кейін басқа сессияға берілуі мүмкін. Статикалық мекенжайлау бұл байланысты сақтаудың бір жолы, жалғыз жолы емес.
Мұнда аударма қадамы бірнеше құрылғыны сенсордан жоғары бір бастапқы мекенжайға біріктірсе, қосылым тек ортақ шлюз сессиясын атай алады. Ортақ тіркелгі немесе бірнеше адам пайдаланатын сертификат желі деректері қаншалықты толық көрінсе де, атрибуцияны шектейді. Екеуі де есепте кейінгі ескерту емес, шек ретінде орын алуы керек.
Уақыт белдеуін, сағат көзін, бақылау нүктесін және олардың арасындағы әрбір аударма шекарасын жазыңыз. Жоқтық бар болу сияқты қамқорлыққа лайық, себебі жоғалған жазба ағын жазбасының мерзімі өткенін, сенсордың пакетті ешқашан көрмегенін немесе қолданба журналының өшірілгенін білдіруі мүмкін.
Жарияланған мақсатқа сай жобалаңыз, содан кейін ағынды дәлелдеңіз
Сұрақ бекітілгеннен кейін қандай өрістер қажет, кім оқи алады және қанша уақыт сақталады — соны айқындаңыз. Сақтау арзан болғандықтан көбірек жинау тергеуден ұзақ өмір сүретін жауапкершілік туғызады. RFC 6973 құжатындағы құпиялылық моделі корреляцияны, қате атрибуцияны және артық жинауды кейінгі ой емес, жобалау мәселесі деп қарастырады.
Сәйкестендіруді және жазбаларды бір нысан ретінде қорғаңыз, себебі әрқайсысы жеке жұптан әлдеқайда аз сезімтал. Содан кейін жобаны өзіңізге генерациялауға рұқсат етілген және бұрыннан түсінетін белсенділікке қарсы, есеп сүйенетін ең кішкентай сұраныспен тексеріңіз. Белгілі оқиғаны қайта шығара алмайтын ағын белгісіз оқиғаны да қайта шығармайды. Дәлелдер қолдайтын оқиғаны дәлелдер рұқсат ететін сөздермен баяндаңыз, ал үлкен қорытындыға оқырман өзі жетсін.
Шектерді тұжырымның қасына жазыңыз: не байланысты, не аударылды және қай журнал үнсіз қалды. Өз шекараларын жариялайтын тұжырым өзіне сенімді қорытынды көтере алмайтын сараптамадан өтеді. Бұл дәлел мен дәлел туралы әңгіме арасындағы айырмашылық.