VPN колдонуучу аты журнал түтүгүнөн кайда жоголот?
Журналдын купуялык көзөмөлүн өзгөртүүдөн мурун шлюз окуясын, жыйноочунүн чийки көчүрмөсүн, индекстелген окуяны жана издөө учурундагы талааны салыштырыңыз.
Сессиялар тактада көрүнөт, ал эми колдонуучу атынын мамычасы бош калат, жана биринчи түрткү талдоочуну күнөөлөө. Бул түрткү маани жоголушу мүмкүн болгон үч эртерек баскычты өткөрүп жиберет. Шлюз саясат боюнча инсанды жашыра алат, кабыл алуу эрежеси аны индекстөөгө чейин жок кыла алат, ал эми издөө учурундагы бөлүп алуу аны атоону жөн гана аткара албай калышы мүмкүн. Оңдоо кайсы чекти жооптуу деп далилдей аларыңызга байланыштуу, ошондуктан пайдалуу иш — конфигурация эмес, салыштыруу.
Тактадан эмес, бир окуядан баштаңыз
Бир аутентификация окуясын тандап, аны эмне аныктай турганын жазыңыз: шлюздун модели жана чыгарылышы, аутентификация ыкмасы, окуя идентификатору, убакыт белгиси жана баштапкы дарек. Колдонуучу атын адам тергендей так кошуңуз, чоң жана кичине тамгаларды кошкондо, анткени тамга регистрине сезимтал издөө бар талааны жашырышы мүмкүн. Ошол окуяны ар бир кийинки салыштыруу үчүн таяныч катары караңыз.
Окуя түрлөрү бир схеманы бөлүшпөйт. Ийгиликсиз аракет, кардарсыз ийгиликтүү кирүү жана туннелдин кайра туташуусу ар башка талааларды бере алат, ал эми айрым шлюздар аракет колдонуучу аутентификациясына жетпесе, инсанды түшүрүп кетишет. Ошондуктан бир окуя түрүндөгү бош мамыча түтүк маселесинин алсыз далили.
Чыныгы кызматкердин эсебинин ордуна бекитилген сыноо инсаны менен иштеңиз жана салыштырууну журнал маалыматтарына мурунтан эле колдонулуучу кирүү эрежелеринин ичинде кармаңыз. Жөн гана үлгү алуу үчүн кенен деталдуу аутентификация журналын күйгүзүү өлчөөгө аракет кылган системанын өзүн өзгөртөт.
Төрт чекти ирети менен салыштырыңыз
Маани төрт чекиттин биринде жоголушу мүмкүн. Ар бир чекиттин ээси да, оңдоосу да башка.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Маани жоголгон биринчи чекте токтоңуз. Түзмөктүн көрүнүшү менен чийки көчүрмөнүн ортосундагы дал келбөө ташууга же жыйноочу конфигурациясына көрсөтөт; ал жерде дал келүү болсо да индекстелген окуяда маанинин жоктугу өзгөртүүгө көрсөтөт; индекстелген окуяда бар, бирок тактада жок маани бөлүп алууга же суроо-талапка көрсөтөт.
Бул ирет маанилүү, анткени ар бир кийинки баскыч маалыматты гана жогото алат, аны эч качан калыбына келтирбейт. Регулярдык туюнтма мурунку баскыч орун толтургуч менен алмаштырган сапты кайтара албайт, ал эми купуялык параметри эч качан жөнөтүлбөгөн маанини түшүндүрө албайт.
Баштапкы булакта жашыруу — саясат, талдоочунун катасы эмес
Cisco'нун ASA журналдоо документтери колдонуучу атын жашырууну конфигурациялануучу жүрүм-турум катары сүрөттөйт, анын ичинде жараксыз же белгисиз колдонуучу аттары кантип көрсөтүлөрү да бар. Ошондуктан баштапкы окуядагы жашырылган инсан купуялык саясаты талап кылган так ошол нерсе болушу мүмкүн, ал эми аны талдоо ийгиликсиздиги катары кароо көзөмөлдү алсыратуучу сурамга алып келет.
Так көрүнүш чыгарылышка жана билдирүү түрүнө байланыштуу. Бир окуя орун толтургучту алып жүрүшү мүмкүн, экинчиси талааны толугу менен түшүрүп кетиши мүмкүн, ал эми аутентификация ийгиликсиздигинде эч качан ат болбошу мүмкүн. Ар бир жоголгон инсанга эски ката отчётун колдонуунун ордуна конкреттүү окуя үчүн документтелген жүрүм-турумду текшериңиз.
Жашыруу атайын болгондо, суроо талааны кантип калыбына келтирүүдөн аудит талабын башка жол менен канааттандырууга болобу дегенге өзгөрөт. Сессия идентификаторлору, кичирээк топ кармаган көзөмөлдөнгөн инсан картасы же тарыраак уруксат берилген окуя агымы ар бир сыналган колдонуучу атын ар бир журнал окуучусунун алдына койбостон эле муктаждыкты канааттандырат.
Индекстөөгө чейинки анонимдештирүүнү кайтаруу мүмкүн эмес
Splunk'тун окуяларды иштетүү тууралуу документтери анонимдештирүүнү индекстөөгө чейин маалыматты кайра жазуучу же жок кылуучу sed туюнтмалары жана өзгөртүүлөр аркылуу сүрөттөйт. Так ошол жай маанилүү: чийки окуя кирген жерде өзгөрөт, ошондуктан издөө учурундагы бөлүп алууга таба турган эч нерсе калбайт.
Индекстөө учурундагы редакциялоо жана издөө учурундагы талааларды бөлүп алуу ар башка маселелерди чечет. Редакциялоо маанини ким көрө аларын чектейт; бөлүп алуу суроо-талап кайсы атты колдонорун гана чечет. Хэштөө корреляцияны сактаган ортоңку вариант, бирок кичине колдонуучу аттары мейкиндигиндеги туруктуу хэш, бирөө ага каршы талапкер аттарды текшере алса, дагы эле аныктайт.
Эгер сакталган окуяда дагы эле инсан болсо, маселе төмөндө: булак түрү, саптарды бөлүү, бөлгүчтөрдү иштетүү, талаа лакап аттары же суроо-талаптын өзү. Булар кадимки талдоо оңдоолору жана купуялык чегине тийбейт.
Чекке ылайыктуу оңдоону тандаңыз
Жоопту үч шарт аныктайт. Биринчиден, купуялык саясаты инсанды чыгарып салууну көздөйбү? Экинчиден, аудит же иликтөө процессине инсан, каймана ат, же болбосо сессия гана керекпи? Үчүнчүдөн, маани кайсы чекте керек — жыйноо, сактоо же көрсөтүү?
Эгер саясат чыгарып салууну көздөсө, көзөмөлдү эмес, талапты же көрсөтүүнү өзгөртүңүз. Эгер саясат инсанга уруксат берсе, бирок жыйноо аны түшүрүп кетсе, жыйноочуну оңдоп, чийки окуяны ырастаңыз. Эгер сактоо бүтүн болсо, бөлүп алууну оңдоп, аны башында жаздырган бекитилген окуяга каршы сынаңыз.
Иликтөөнү өзгөртүү жазуусунда чекти атап бүтүрүңүз: баштапкы булакта жашырылган, кабыл алуу учурунда жок кылынган же бөлүп алуудан калып калган. Ошол бир сүйлөм кийинки инженерге эң оболу кайда кароону айтат жана тактанын нааразычылыгынын үнсүз өчүрүлгөн купуялык функциясына айланышына жол бербейт.