HTTP дәлелдерін таңдау: шлюз жазбалары немесе қолданба журналдары

Веб-мониторинг мақсаттан басталады, ұстау нүктесінен емес. Белсенді клиенттерді санау, API шақыруын уақыттау және хабар денесін оқу — әрқайсысы бөлек дәлел мен бөлек құпиялылық шешімін талап етеді. Қорғалған HTTPS жіберетін шлюз бет мазмұнын емес, қосылыстарды көреді. Қате қабатты таңдау бай көрінетін және ешнәрсеге жауап бермейтін дерек береді.

Дереккөзден бұрын сұрақты атаңыз

Деректер қолдауға тиіс операциялық шешімнен бастаңыз. Қолжетімділік сұрақтарына санақ пен уақыт, сұраныс сұрақтарына жол мен күй кодтары, мазмұн сұрақтарына хабар денесі қажет. Ішке қарай әр қадам сезімталдық пен инженерлік күрделілікті қосады. Жинау басталмас бұрын қызмет иесі мен қауіпсіздік иесі аудиторияны, мақсатты және өңдеуді бекітсін, өйткені туннельді басқару ол шешім емес.

Сұрақты бір сөйлеммен жазып, жинау жоспарының қасында ұстаңыз. Бұл — ауқымның жалғыз сенімді бақылауы.

Шлюз нені көрсете алады, нені көрсете алмайды

Дұрыс қорғалған HTTPS жіберетін шлюз әдетте мекенжайларды, порттарды және көлемдерді көреді, сұраныс жолдарын немесе денелерді емес.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

conntrack тізімі ағындар мен түрлендірулерді көрсетеді, қысқа ұстау болса оқылатын қолданба мазмұнынсыз пакеттерді көрсетеді. Трафик ағып жатыр ма, қанша және қандай шеткі нүктелер арасында — соған жауап беруге осы жетеді. Бұл URL тізімі емес, ал кәдімгі CONNECT проксиі қолданбаның TLS-ін тоқтатпай шифрланған айырбасты жібереді. Біреу сол позициядан сұраныс жолдарын уәде етсе, қай компонент шифрды ашады және кімнің сенімімен екенін сұраңыз.

Қолданба журналдары сұраныс сұрақтарының көбіне жауап береді

Сіз басқаратын қолданба үшін оның өз қолдайтын журналы әдетте басқалардың қосылыстарын шифрдан шығармай сұраныс деңгейіндегі сұраққа жауап береді.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Денсаулық сұранысы қолжетімділікті клиент орнынан өлшейді, қолжетімділік журналы сервер бұрын сақтауды таңдаған өрістерді жазады. Тапсырмаға қажет өрістерді таңдап, қалғанын сыртта қалдырыңыз, өйткені тіпті URL де сезімтал параметрлерді тасымалдай алады. Журнал жолы сол қызмет туралы дәлел, пайдаланушы туннель арқылы жеткен әрбір басқа қызмет туралы емес. Жинауды тар ұстау сақтау сұрағын да кіші ұстайды, сондықтан талапты тудырған ой-тәжірибеден қысқа терезе орнатыңыз.

Кесіп алу — жеке сенім жобасы

Егер хабар деңгейіндегі тексеру шынымен қажет болса, TLS кесіп алу жаңа сенімді шеткі нүкте мен таратылуы және ұсталуы тиіс клиент сенім келісімін жасайды. Сертификаттарды бекітетін қолданбалар бұзылады, ал оператор енді кез келген сервер кілті сияқты маңызды жеке кілттерді ұстайды. Жинауды сертификат тексеруін әлсірету немесе сертификаттарын бекітетін қолданбаны жамау арқылы іске қосу қауіпсіздік бақылауын журнал жолына айырбастайды. Сенімінің таратылуы әлдеқашан басқарылатын құжатталған тексеру жобасын қалаңыз, ал органның жеке кілтін ортақ нәрседен тыс ұстаңыз.

Жинау терезесінің соңында конфигурацияны және оның сенім материалын иелері арқылы алып тастаңыз, ал сақталған дәлелдерді келісілген саясат бойынша жойыңыз. Айтылған мақсатқа жеткілікті сенімді ақпарат — табыс өлшемі, мүмкін болатын ең үлкен ұстау емес.