Kann e VPN-Log d'Browsinggeschicht weisen? Wat d'Beweiser beweisen
E Sessiounslog, eng Resolver-Ufro an e Flow-Record beweisen ënnerschiddlech Saachen. Wielt d'Fro, verbannt Identitéit an Zäit a sot nëmmen, wat gewise gouf.
Zwou Auditfroe kléngen ähnlech a verlaangen ënnerschiddlech Beweiser. Wéi eng Sessioun dës Adress kontaktéiert huet, kann aus Verbindungs- a Flowopzeechnunge beäntwert ginn. Wéi eng Persoun dës Säit opgemaach huet, meeschtens net, op d'mannst net aus deenen Opzeechnungen. De Sammler ze wielen, ier d'Fro gewielt gëtt, ass de Wee, wéi en Netzwierkteam dozou kënnt, en Hostnumm als Browsinggeschicht ze presentéieren.
Fänkt mat dem Evenement un, dat d'Audit muss feststellen
Schreift d'Fro als Saz mat Sujet, Verb an Zäit. Just dës Disziplin deckt de Spalt tëscht enger Sessiounsopzeechnung an enger Säitvisioun op. E Sessiounslog stellt fest, datt eng Identitéit fir en Intervall akzeptéiert gouf, mat enger zougewisener Adress ënner enger registréierter Politik, an en kann net feststellen, wéi eng Säit een gelies huet, well en d'Ufro ni gesinn huet.
Nennt d'Observatioun, ier de Sammel entworf gëtt. E Feld, dat no enger besichter Säit benannt ass an tatsächlech en opgeléisten Numm späichert, ass e Feeler an Zukunft an net eng Erliichterung. Feldnimm liewen méi laang wéi d'Leit, déi se gewielt hunn, also wielt der, déi de Beweis beschreiwen an net d'Schlussfolgerung.
Wat all Opzeechnung ënnerstëtze kann an wat net
Véier Aarte vun Opzeechnunge kommen a bal all Auditdesign vir, an all beäntwert eng aner Fro. Halt se getrennt am Bericht souwéi an der Pipeline, well se ze vermëschen ass de Wee, wéi eng verdeedegbar Entdeckung eng peinlech gëtt.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Liest déi lescht Kolonn sou suergfälteg wéi déi mëttelst. Eng Flowopzeechnung beschreift Adressen a Porte, an eng ëmgedréint Sich no enger Adress rekonstruéiert net den Numm, deen e Browser benotzt huet, well eng Adress vill onverbonnen Säite kann hosten. Eng Resolver-Ufro beweist, datt eng Fro gestallt gouf, net datt eng Säit gewise gouf. En Hostnumm, deen während enger TLS-Verhandlung ze gesinn ass, ass och net de verschlësselten Ufrowee.
All eenzel dovun ass eng richteg Observatioun, an keng ass déi Observatioun, déi d'Leit unhuelen. E Browser, deen op sengem eegene verschlësselte Resolver behaart, steet baussen dem iwwerwaachten Beräich, an d'Analys kann net erëmhuelen, wat d'Logging ni gesinn huet. Dee Spalt gehéiert an de Bericht als ausdrécklech Grenz an net als Foussnout.
Virgräifend Ufroen an Äntwerten aus dem Cache
Browsere léisen Nimm virgräifend op, heiansdo ouni iwwerhaapt eppes ze lueden. Si äntweren och aus dem Cache, ouni eng nei Ufro un de Resolver ze schécken, deen Dir iwwerwaacht, wat heescht, datt d'Fehlen vun enger Ufro net d'Fehlen vun engem Besuch ass. Béid Verhalensweise briechen déi naiv Equatioun tëscht engem DNS-Log an enger Browsinggeschicht.
DNS iwwer HTTPS füügt eng zweet Grenz bäi: e Browser oder eng Gaaschtapplikatioun mat sengem eegene Resolver freet de Logger vun der Organisatioun ni eppes. Genee Transaktioune kommen nëmmen aus den Evenementer vun der Applikatioun selwer oder vun engem Proxy, deem seng Logging Dir ausdrécklech ënnerstëtzt. En einfachen HTTPS CONNECT-Tunnel léisst de Proxy ouni all Bléck op d'Säitweeër dobannen. D'Netzwierk ze besëtzen ass keng Erlaabnes, dem Applikatioun säin Vertrauensmodell roueg auszetauschen.
D'Adress gehéiert zu enger Sessioun, net zu enger Persoun
Eng Flowopzeechnung mat enger Adress aus dem Tunnelberäich ass en Ausgangspunkt an net eng Äntwert. Verbannt déi Adress an den Zäitstempel mat der Sessiounszouweisung, déi deemools aktiv war, well déi Adress kann eng Stonn méi spéit enger anerer Sessioun zougewisen ginn. Statesch Adresséierung ass ee Wee, dee Bezuch ze halen, an net deen eenzegen.
Wou eng Iwwersetzungsschrack méi Geräter zu enger eenzeger Quelladress uewerhalb vum Sensor zesummefaasst, kann d'Verbindung nëmmen déi gedeelt Gateway-Sessioun nennen. En gedeelte Kont oder en Zertifikat, dee vu méi Leit benotzt gëtt, begrenzt d'Zouuerdnung, sou komplett wéi d'Netzwierkdaten och ausgesinn. Béid gehéieren an de Bericht als Grenz an net als Virbehalt fir méi spéit.
Notéiert d'Zäitzon, d'Quell vun der Auer, de Punkt vun der Observatioun an all Iwwersetzungsgrenz dertëscht. D'Fehlen verdéngt déiselwecht Suergfalt wéi d'Präsenz, well eng fehlend Opzeechnung kann heeschen, datt en Flowafdroun ofgelafe ass, e Sensor de Pak ni gesinn huet oder e Applikatiounslog ausgeschalt war.
Designt fir de genannten Zweck, dann beweist d'Pipeline
Wann d'Fro festgehal gëtt, definéiert, wéi eng Felder gebraucht ginn, wien se liese kann a wéi laang se behalen ginn. Méi ze sammelen, well d'Späichere bëlleg ass, schaaft eng Responsabilitéit, déi d'Enquête iwwerlieft. De Privatsphärsmodell an RFC 6973 considéréiert Korrelatioun, falsch Zouuerdnung an onnéideg Sammlung als Designproblemer an net als nogeduecht Detailer.
Schützt d'Mapping an d'Opzeechnungen als een Objet, well all eenzel vill manner sensitiv ass wéi d'Puer. Validéiert dann den Design géint Aktivitéit, déi Dir dierft generéieren an déi Dir schonn verstitt, mat der klengster Ufro, op déi de Bericht sech stäipt. Eng Pipeline, déi en bekannten Evenement net reproduzéiere kann, reproduzéiert och keen onbekannten. Rapporteiert den Evenement, deen d'Beweiser ënnerstëtzen, an de Wierder, déi d'Beweiser erlaben, a loosst de Lieser selwer zu der gréisserer Schlussfolgerung kommen.
Schreift d'Grenzen niewent d'Entdeckung: wat verbonne gouf, wat iwwersat gouf a wéi ee Log stëll bliwwen ass. Eng Entdeckung, déi hir eege Grenzen nennt, iwwersteet eng Iwwerpréiwung, déi eng selbstsécher Zesummefaassung net iwwersteet. Dat ass den Ënnerscheed tëscht engem Beweis an enger Geschicht iwwer e Beweis.