VPN журналы шолу туралы нені дәлелдей алады және нені дәлелдей алмайды

Журнал жинағышты таңдамас бұрын аудит қай оқиғаны анықтауы керектігін шешіңіз. Қай VPN сессиясы мақсатты мекенжайға хабарласқанын сұрау, қай адам белгілі бір бетті ашқанын сұраудан өзгеше сұрақ. Екеуі де әртүрлі жазбаларды, әртүрлі қосылымдарды және сенімнің әртүрлі деңгейлерін қажет етеді. OpenVPN қосылым журналы біріншісіне жауап береді, ал екіншісіне жауап бере алмайды.

Жинағышты таңдамас бұрын оқиғаны атаңыз

Сессия жазбасы қабылданған сәйкестікті, басталу және аяқталу уақытын және сервер өз саясаты бойынша берген мекенжайды көрсетеді. Шешуші журналы сол шешушіде атау сұралғанын көрсетеді. Ағын жазбасы мекенжайларды, порттарды, протоколды және уақытты көрсетеді, ал қолданба журналы сол қолданба шынымен өңдеген транзакцияны көрсетеді. Осы төрттің ешқайсысы екіншісін алмастырмайды.

Олардың әрқайсысы бір оқиғаны анықтайды және қалғандарын ашық қалдырады. Сұрақты алдын ала жазу деректер қолдай алмайтын әңгіме құрастырудан сақтайды.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Бірінші пәрмен қызмет журналынан сессия оқиғаларын көрсетеді. Екіншісі бөлінген мекенжайлары бар ағымдағы клиенттер тізімін басып шығарады, бұл аудит қосылымы тәуелді болатын сәйкестендіру. Үшіншісі қосылым әлі бар кезде ғана пайдалы ағынның тірі күйін көрсетеді.

Іздеу — кіру емес

Браузер атауларды болжаммен шешеді, жауаптарды кэштейді және бақыланатын шешушіден қайта сұрамай-ақ оларды қайта пайдаланады. Сондықтан шешуші журналындағы атау іздеуді дәлелдейді, кіруді емес. HTTPS арқылы DNS бұл алшақтықты кеңейтеді, өйткені оған конфигурацияланған браузер сұрақтарын сіздің қарапайым тіркеушіңіз ешқашан көрмейтін жерге жібереді.

Мақсатты мекенжайлар өздігінен жақсы емес. Бір мекенжай көптеген байланыссыз сайттарды орналастыра алады, кері DNS — қайта құру емес, болжам, ал TLS қол алысуы кезінде көрінетін хост атауы шифрланған сессияның ішіндегі сұраныс жолы емес.

Нақты транзакциялар үшін қолданбаның өз оқиғалар жазбалары немесе журналдау үшін ашық түрде қолдау көрсетілген прокси дизайны қажет. CONNECT туннелі проксиге мақсатты және көлемді береді, ішіндегі бет жолдарын емес. Желіге әкімшілік қолжетімділік қолданбаның сенім моделін үнсіз алмастыруға лицензия емес.

Адамды атамас бұрын сәйкестік пен уақытты біріктіріңіз

Ішкі бастау мекенжайы бар ағын жазбасы сол мекенжай бір уақытта сессиямен байланыспағанша ештеңені білдірмейді. Мекенжайлар қайта пайдаланылады, ал сол мекенжай бір сағат бұрын басқа сессияға тиесілі болуы мүмкін. Статикалық бөлу байланысты сақтаудың бір жолы, жалғыз жолы емес.

Аударма шекаралары қосылымды одан әрі әлсіретеді. Егер бірнеше құрылғы сіздің бақылау нүктеңізге дейін бір бастау мекенжайын бөліскен болса, анықтай алатын ең жақсы нәрсе — жеке құрылғы емес, ортақ шлюз сессиясы. Бірнеше адам пайдаланатын сертификат немесе тіркелгі де осындай әсерге ие.

Уақыт белдеулерін, сағат көздерін, бақылау нүктелерін және әрбір аударма қадамын жазып алыңыз. Жоқ жазбалар ағын жазбасының ескіргенін, сенсордың айналып өтілгенін немесе қолданба журналының өшірілгенін білдіруі мүмкін. Жоқтық ештеңе болмағанының дәлелі емес.

Содан кейін мәлімделген мақсат үшін ең аз өрістерді, рұқсат етілген оқырмандарды және сақтау мерзімін анықтаңыз. Корреляция және дұрыс емес телу — кейінгі ой емес, дизайн мәселелері, ал адамдарды сәйкестендіретін метадеректер олар тәуелді сәйкестік картасы сияқты қорғауға лайық.

Аудитті өзіңіз бақылайтын белсенділікпен сынаңыз

Сессиясы мен қолданбасын бұрыннан білетін рұқсат етілген трафик жасаңыз, содан кейін әр жазбаның шын мәнінде нені түсіргенін тексеріңіз. Бетті жүктемей іздеу жасаңыз, бетті кэштен жүктеңіз және прокси арқылы қосылым ашыңыз, қандай оқиғалар пайда болатынын қараңыз.

Дәлелдер қолдайтын оқиға туралы хабарлаңыз және ол нені қамтымайтынын айтыңыз. Мәлімделген ауқымы бар қарапайым жазба қараудан өтеді; болжамдардан құрастырылған ауқымды шолу тарихы өтпейді.