VPN пайдаланушы аты журнал құбырынан қайда жоғалады?
Журналдың құпиялылық басқаруын өзгерту алдында шлюз оқиғасын, жинаушының шикі көшірмесін, индекстелген оқиғаны және іздеу кезіндегі өрісті салыстырыңыз.
Сеанстар тақтада көрінеді, ал пайдаланушы аты бағаны бос қалады, және бірінші түйсік талдаушыны кінәлау. Бұл түйсік мән жоғалуы мүмкін болатын үш ертерек кезеңді өткізіп жібереді. Шлюз саясат бойынша сәйкестікті жасыра алады, қабылдау ережесі оны индекстеуге дейін жоя алады, ал іздеу кезіндегі шығарып алу оны атауды жай ғана орындай алмауы мүмкін. Түзету қай шекараны жауапты деп дәлелдей алатыныңызға байланысты, сондықтан пайдалы жұмыс — конфигурация емес, салыстыру.
Тақтадан емес, бір оқиғадан бастаңыз
Бір аутентификация оқиғасын таңдап, оны ненің сәйкестендіретінін жазыңыз: шлюздің моделі мен шығарылымы, аутентификация әдісі, оқиға идентификаторы, уақыт белгісі және бастапқы мекенжай. Пайдаланушы атын адам тергендей дәл қосыңыз, бас және кіші әріптерді қоса, өйткені әріп регистріне сезімтал іздеу бар өрісті жасыруы мүмкін. Сол оқиғаны кез келген кейінгі салыстыру үшін тірек ретінде қарастырыңыз.
Оқиға түрлері бір схеманы бөліспейді. Сәтсіз әрекет, клиентсіз сәтті кіру және туннельдің қайта қосылуы әртүрлі өрістер бере алады, ал кейбір шлюздер әрекет пайдаланушы аутентификациясына жетпесе, сәйкестікті түсіріп кетеді. Сондықтан бір оқиға түріндегі бос баған құбыр мәселесінің әлсіз дәлелі.
Нақты қызметкер тіркелгісінің орнына бекітілген сынақ сәйкестігімен жұмыс істеңіз және салыстыруды журнал деректеріне қазірдің өзінде қолданылатын қатынау ережелерінің ішінде ұстаңыз. Тек үлгі алу үшін егжей-тегжейлі аутентификация журналын кеңінен қосу өлшеуге тырысқан жүйенің өзін өзгертеді.
Төрт шекараны ретімен салыстырыңыз
Мән төрт нүктенің бірінде жоғалуы мүмкін. Әр нүктенің иесі де, түзетуі де басқа.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Мән жоғалатын бірінші шекарада тоқтаңыз. Құрылғы көрінісі мен шикі көшірме арасындағы сәйкессіздік тасымалдауға немесе жинаушы конфигурациясына нұсқайды; онда сәйкестік болса да индекстелген оқиғада мәннің болмауы түрлендіруге нұсқайды; индекстелген оқиғада бар, бірақ тақтада жоқ мән шығарып алуға немесе сұрауға нұсқайды.
Бұл рет маңызды, өйткені әр кейінгі кезең тек ақпарат жоғалта алады, оны ешқашан қалпына келтірмейді. Тұрақты өрнек бұрынғы кезең орнын толтырғышпен ауыстырған жолды қайтара алмайды, ал құпиялылық параметрі ешқашан жіберілмеген мәнді түсіндіре алмайды.
Бастапқы көзде жасыру — саясат, талдаушы қатесі емес
Cisco-ның ASA журналдау құжаттамасы пайдаланушы атын жасыруды конфигурацияланатын мінез-құлық ретінде сипаттайды, оның ішінде жарамсыз немесе белгісіз пайдаланушы аттарының қалай көрсетілетіні де бар. Сондықтан бастапқы оқиғадағы жасырылған сәйкестік құпиялылық саясаты талап ететін дәл сол нәрсе болуы мүмкін, ал оны талдау сәтсіздігі ретінде қарау басқаруды әлсірететін сұранысқа әкеледі.
Нақты көрініс шығарылымға және хабар түріне байланысты. Бір оқиға орнын толтырғышты алып жүруі мүмкін, екіншісі өрісті толығымен түсіріп кетуі мүмкін, ал аутентификация сәтсіздігінде ешқашан ат болмауы мүмкін. Әрбір жоғалған сәйкестікке ескі қате есебін қолданудың орнына нақты оқиға үшін құжатталған мінез-құлықты тексеріңіз.
Жасыру әдейі болғанда, сұрақ өрісті қалай қалпына келтіруден аудит талабын басқа жолмен қанағаттандыруға бола ма дегенге ауысады. Сеанс идентификаторлары, кішірек топ ұстайтын бақыланатын сәйкестік картасы немесе неғұрлым тар рұқсат етілген оқиға ағыны әрбір сыналған пайдаланушы атын әрбір журнал оқырманының алдына қоймай-ақ қажеттілікті қанағаттандырады.
Индекстеуге дейінгі анонимдеуді қайтару мүмкін емес
Splunk-тың оқиғаларды өңдеу туралы құжаттамасы анонимдеуді индекстеуге дейін деректерді қайта жазатын немесе жоятын sed өрнектері мен түрлендірулер арқылы сипаттайды. Дәл сол орын басты мәселе: шикі оқиға кірген кезде өзгереді, сондықтан іздеу кезіндегі шығарып алуға табатын ештеңе қалмайды.
Индекстеу кезіндегі редакциялау мен іздеу кезіндегі өрістерді шығарып алу әртүрлі мәселелерді шешеді. Редакциялау мәнді кімнің көре алатынын шектейді; шығарып алу сұраудың қай атауды пайдаланатынын ғана шешеді. Хэштеу корреляцияны сақтайтын аралық нұсқа, бірақ шағын пайдаланушы аттары кеңістігіндегі тұрақты хэш, біреу оған қарсы үміткер аттарды тексере алса, әлі де сәйкестендіреді.
Егер сақталған оқиғада әлі де сәйкестік болса, мәселе төменде: дереккөз түрі, жолдарды бөлу, бөлгіштерді өңдеу, өріс бүркеншік аттары немесе сұраудың өзі. Бұлар қарапайым талдау түзетулері және құпиялылық шекарасына тимейді.
Шекараға сай түзетуді таңдаңыз
Жауапты үш шарт анықтайды. Біріншіден, құпиялылық саясаты сәйкестікті алып тастауды көздей ме? Екіншіден, аудит немесе тергеу процесіне сәйкестік, бүркеншік ат, әлде тек сеанс керек пе? Үшіншіден, мән қай шекарада қажет — жинау, сақтау әлде ұсыну?
Егер саясат алып тастауды көздесе, басқаруды емес, талапты немесе ұсынуды өзгертіңіз. Егер саясат сәйкестікке рұқсат берсе, бірақ жинау оны түсіріп кетсе, жинаушыны түзетіңіз және шикі оқиғаны растаңыз. Егер сақтау бүтін болса, шығарып алуды түзетіңіз және оны басында тіркеген бекітілген оқиғаға қарсы сынаңыз.
Тергеуді өзгеріс жазбасында шекараны атап аяқтаңыз: бастапқы көзде жасырылған, қабылдау кезінде жойылған немесе шығарып алудан қалып қойған. Сол бір сөйлем келесі инженерге ең алдымен қайда қарау керектігін айтады және тақта шағымының үнсіз өшірілген құпиялылық мүмкіндігіне айналуына жол бермейді.