VPN журналы серептөө тарыхын көрсөтө алабы? Далилдер эмнени далилдейт
Сессия журналы, чечүүчүнүн суроосу жана агым жазуусу ар башка нерсени далилдейт. Суроону тандап, инсандык менен убакытты байланыштырып, көрсөтүлгөндү гана айтыңыз.
Аудиттин эки суроосу окшош угулат жана ар башка далилди талап кылат. Кайсы сессия бул дарекке байланышканын туташуу жана агым жазууларынан жооп берүүгө болот. Кайсы адам бул баракты ачканын адатта жок, жок дегенде ошол жазуулардан эмес. Суроону тандабай туруп жыйноочуну тандоо — тармак тобу хост атын серептөө тарыхы катары сунуштап калган жол.
Аудит далилдеши керек болгон окуядан баштаңыз
Суроону ээлик, баяндооч жана убакыт камтыган сүйлөм катары жазыңыз. Ушул тартип эле сессия жазуусу менен баракты көрүүнүн ортосундагы ажырымды ачат. Сессия журналы инсандыктын белгилүү аралыкка, жазылган саясат боюнча берилген дарек менен кабыл алынганын аныктайт, бирок ким кайсы баракты окуганын аныктай албайт, анткени ал суроону эч качан көргөн эмес.
Жыйноону долбоорлоодон мурун байкоого ат бериңиз. Кирген сайттын аты менен аталган, бирок чындыгында чечилген атты сактаган талаа — ыңгайлуулук эмес, келечектеги ката. Талаа аттары аларды тандаган адамдардан узак жашайт, ошондуктан жыйынтыкты эмес, далилди сүрөттөгөн аттарды тандаңыз.
Ар бир жазуу эмнени колдой алат жана эмнени колдой албайт
Дээрлик ар бир аудит долбоорунда төрт түрдөгү жазуу кездешет жана ар бири башка суроого жооп берет. Аларды отчётто да, иштетүү агымында да өзүнчө кармаңыз, анткени аларды аралаштыруу корголуучу тыянакты уяттуу кылат.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Акыркы мамычаны ортоңку мамычадай этияттык менен окуңуз. Агым жазуусу даректерди жана портторду сүрөттөйт, ал эми даректин тескери издөөсү браузер колдонгон атты кайра куралбайт, анткени бир дарек көптөгөн байланышсыз сайттарды жайгаштыра алат. Чечүүчүнүн суроосу суроо берилгенин далилдейт, барак көрсөтүлгөнүн эмес. TLS сүйлөшүүсүндө көрүнгөн хост аты да шифрленген суроо жолу эмес.
Булардын ар бири чыныгы байкоо, жана эч бири адамдар болжолдогон байкоо эмес. Өзүнүн шифрленген чечүүчүсүнө таянган браузер көзөмөлдөнгөн аймактын сыртында турат, ал эми журнал эч качан көрбөгөндү талдоо кайтара албайт. Бул ажырым отчётто шилтеме эмес, жарыяланган чек катары орун алышы керек.
Алдын ала суроолор жана кэштен алынган жооптор
Браузерлер аттарды алдын ала чечет, кээде эч нерсе жүктөбөстөн. Алар кэштен да жооп берет, сиз көзөмөлдөп жаткан чечүүчүгө жаңы суроо жөнөтпөстөн, башкача айтканда суроонун жоктугу кирүүнүн жоктугу эмес. Эки жүрүм-турум тең DNS журналы менен серептөө тарыхынын ортосундагы жөнөкөй теңдемени бузат.
HTTPS үстүндөгү DNS экинчи чек кошот: өз чечүүчүсү бар браузер же конок колдонмо уюмдун каттоочусунан эч нерсе сурабайт. Так транзакциялар колдонмонун өз окуяларынан же журналдоосун сиз ачык колдогон проксиден гана келет. Жөнөкөй HTTPS CONNECT туннели проксини ичиндеги барак жолдорунун эч кандай көрүнүшү жок калтырат. Тармакка ээлик кылуу колдонмонун ишеним моделинин ордун жашыруун алмаштырууга уруксат эмес.
Дарек сессияга таандык, адамга эмес
Туннель диапазонунан дареги бар агым жазуусу жооп эмес, баштапкы чекит. Ошол даректи жана убакыт белгисин ошол учурда активдүү сессия бөлүштүрүүсү менен байланыштырыңыз, анткени бул дарек бир сааттан кийин башка сессияга берилиши мүмкүн. Статикалык даректөө бул байланышты сактоонун бир жолу, жалгыз жолу эмес.
Бул жерде котормо кадамы бир нече түзмөктү сенсордон жогору бир булак дарегине бириктирсе, туташтыруу жалпы шлюз сессиясын гана атай алат. Жалпы эсеп же бир нече адам колдонгон сертификат тармактык маалыматтар канчалык толук көрүнсө да, атрибуцияны чектейт. Экөө тең отчётто кийинки эскертүү эмес, чек катары орун алышы керек.
Убакыт алкагын, саат булагын, байкоо чекитин жана алардын ортосундагы ар бир котормо чегин жазыңыз. Жоктук бардык сыяктуу камкордукка татыктуу, анткени жоголгон жазуу агым жазуусунун мөөнөтү бүткөнүн, сенсор пакетти эч качан көрбөгөнүн же колдонмо журналы өчүрүлгөнүн билдириши мүмкүн.
Жарыяланган максатка ылайык долбоорлоп, анан агымды далилдеңиз
Суроо бекитилгенден кийин кайсы талаалар керек, ким окуй алат жана канча убакыт сакталаарын аныктаңыз. Сактоо арзан болгондуктан көбүрөөк жыйноо тергөөдөн узак жашаган жоопкерчилик жаратат. RFC 6973 документтеги купуялык модели корреляцияны, туура эмес атрибуцияны жана ашыкча жыйноону кийинки ой эмес, долбоорлоо маселеси деп карайт.
Картага түшүрүүнү жана жазууларды бир объект катары коргоңуз, анткени ар бири өзүнчө жуптан алда канча аз сезимтал. Анан долбоорду өзүңүзгө жаратууга уруксат берилген жана мурун түшүнгөн ишмердүүлүккө каршы, отчёт таяна турган эң кичине суроо менен текшериңиз. Белгилүү окуяны кайра жарата албаган агым белгисиз окуяны да кайра жаратпайт. Далилдер колдогон окуяны далилдер уруксат берген сөздөр менен билдириңиз, ал эми чоң тыянакка окурман өзү жетсин.
Чектерди тыянактын жанына жазыңыз: эмне байланышты, эмне которулду жана кайсы журнал үнсүз калды. Өз чектерин жарыялаган тыянак өзүнө ишенимдүү корутунду көтөрө албаган текшерүүдөн өтөт. Бул далил менен далил жөнүндөгү окуянын ортосундагы айырма.