HTTP-Beweiser auswielen: Gateway-Protokoller oder App-Loggen

Webmonitoring fänkt mat engem Zweck un, net mat engem Erfaassungspunkt. Aktiv Clienten zielen, en API-Opruff moossen an Noriichte-Kierper liesen erfuerdert all eenzel aner Beweiser an aner Dateschutz-Entscheedungen. En Gateway, dee geschützten HTTPS weidergëtt, gesäit Verbindungen anstatt Säiteninhalt. Déi falsch Schicht wielen ergëtt Daten, déi räich ausgesinn an näischt beäntweren.

Nenn d’Fro virun der Donnéeëquell

Fänk mat der operativer Entscheidung un, déi d’Donnéeën ënnerstëtze mussen. Disponibilitéitsfroe brauchen Zuelen an Zäiten, Ufroesfroe brauchen Weeër a Statuscoden, an Inhaltsfroe brauchen Noriichte-Kierper. All Schrëtt no bannen dobäi setzt Sensibilitéit an Ingenieurskomplexitéit. Looss den Déngschtbesëtzer an de Sécherheetsbesëtzer ëffentlech, Zweck a Behandlung approuvéieren ier d’Sammelen ufänkt, well den Tunnel bedreiwen ass net déi Entscheidung.

Schreif d’Fro an engem Saz an hal se nieft dem Sammelplang. Et ass déi eenzeg zouverlässeg Ëmfangskontroll.

Wat den Gateway weise kann an wat net

En Gateway, dee korrekt geschützten HTTPS weidergëtt, gesäit normalerweis Adressen, Porten a Volumen, net Ufroeslinnen oder Kierper.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

D’conntrack-Lëscht weist Flëss an Iwwersetzungen, an déi kuerz Opnam weist Paketen ouni liesbaren App-Inhalt. Dat duergt, fir ze äntweren ob den Trafic fléisst, wéi vill, a tëscht wéi Ennpunkten. Et ass keng Lëscht vun URLen, an en normale CONNECT-Proxy leet den verschlësselten Austausch weider ouni den TLS vun der App ze beenden. Wann een aus där Positioun Ufroesweeër versprécht, fro wéi eng Komponent entschësselt a ënner wiem sengem Vertrauen.

App-Loggen beäntweren déi meescht Ufroesfroen

Fir eng App, déi s du bedreiws, beäntwert seng eege ënnerstëtzte Protokolléierung normalerweis d’Fro op Ufroesniveau ouni d’Verbindunge vun aneren ze entschësselen.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

D’Gesondheetsufro misst d’Disponibilitéit aus der Positioun vun engem Client, an den Access-Log notéiert d’Felder, déi de Server schonn decidéiert huet ze behalen. Wiel d’Felder, déi d’Aufgab brauch, a loss de Rescht dobaussen, well och eng URL sensibel Parameteren droe kann. Eng Loglinn ass Beweis iwwer deen Déngscht, net iwwer all aneren Déngscht, deen de Benotzer duerch den Tunnel erreecht huet. D’Sammelen enk halen hält och d’Fro vun der Späicherung kleng, also setz e Fënster méi kuerz wéi de Gedankenexperiment, deen d’Ufuerderung produzéiert huet.

Ofschneiden ass en separate Vertrauensdesign

Wann d’Inspektioun op Noriichtenniveau wierklech gebraucht gëtt, schaaft TLS-Ofschneiden en neien vertrauenswürdegen Endpunkt an eng Client-Vertrauensofkommes, déi verdeelt a gepflegt muss ginn. Appen, déi Zertifikater pinnen, briechen, an den Operateur hält elo privat Schlësselen, deenen hir Schutz sou vill wäert ass wéi all Server-Schlëssel. D’Sammelen duerchschaffe mat enger geschwächter Zertifikatsvalidatioun, oder andeems eng App gepatcht gëtt, déi hir Zertifikater pinnt, tauscht eng Sécherheetskontroll géint eng Loglinn. Bevirdeel en dokumentéierten Inspektiounsdesign, deenen seng Vertrauensverdeelung schonn verwalt gëtt, an hal den private Schlëssel vun der Autoritéit aus allem wat gedeelt gëtt.

Um Enn vum Sammelfenster entfernt d’Konfiguratioun a säi Vertrauensmaterial iwwer hir Besëtzer, an entsuergt déi behalen Beweiser ënner der vereenbarter Politik. Genuch zouverlässeg Informatioun fir den ernimmten Zweck ass de Succès-Kriterium, net déi gréisst méiglech Opnam.