Wat en VPN-Log iwwer d'Surfen ka beweisen an wat net

Ier Dir e Logsammler auswielt, entscheet wéi Evenement d'Audit muss feststellen. Froen, wéi eng VPN-Sessioun eng Destinatiounsadress kontaktéiert huet, ass eng aner Fro wéi froen, wéi eng Persoun eng bestëmmte Säit opgemaach huet. Béid verlaangen ënnerschiddlech Opzeechnungen, ënnerschiddlech Verknëppungen an ënnerschiddlech Vertrauensniveauen. Eng Verbindungslog vu OpenVPN äntwert op déi éischt a kann déi zweet net äntweren.

Nennt d'Evenement, ier Dir e Sammler auswielt

Eng Sessiounsopzeechnung weist eng akzeptéiert Identitéit, eng Ufanks- an Engzäit an eng Adress, déi de Server no senger eegener Politik zougedeelt huet. De Resolverlog weist, datt en Numm bei deem Resolver gefrot gouf. Eng Flossopzeechnung weist Adressen, Porten, Protokoll an Zäit, an en Applikatiounslog weist d'Transaktioun, déi déi Applikatioun tatsächlech behandelt huet. Keng vun deene véier ersetzt eng aner.

Jiddereen vun hinnen etabléiert een Evenement an léisst déi aner op. D'Fro fir d'éischt opzeschreiwen hält Iech dovun of, eng Geschicht zesummenzesetzen, déi d'Donnéeën net kënnen ënnerstëtzen.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Den éischte Kommando weist Sessiounsevenementer aus dem Servicejournal. Den zweete dréckt déi aktuell Clientlëscht mat zougedeelten Adressen, dat ass d'Mapping, vun där eng Auditverknëppung ofhänkt. Den drëtte weist de liewegen Flosszoustand, nëmmen nëtzlech soulaang d'Verbindung nach besteet.

Eng Sich ass kee Besuch

E Browser léist Nimm spekulativ op, späichert Äntwerten am Cache a benotzt se erëm, ouni de bewaachte Resolver nach eng Kéier ze froen. En Numm am Resolverlog beweist dofir eng Sich, kee Besuch. DNS iwwer HTTPS vergréissert dës Lück, well e Browser, deen dofir konfiguréiert ass, seng Froen dohi schéckt, wou Ären normale Logger se ni gesäit.

Destinatiounsadressen sinn eleng net besser. Eng Adress kann vill onofhängeg Säiten hosten, ëmgedréint DNS ass eng Vermuddung an net eng Rekonstruktioun, an en Hostnumm, deen beim TLS-Handshake sichtbar ass, ass net de Requestwee bannent der verschlësselter Sessioun.

Fir exakt Transaktiounen braucht Dir d'Evenementopzeechnunge vun der Applikatioun selwer oder en Proxy-Design, dat ausdrécklech fir Logging ënnerstëtzt gëtt. En CONNECT-Tunnel gëtt engem Proxy d'Destinatioun an de Volume, net d'Säitweeër dran. Administrativen Zougang zum Netzwierk ass keng Lizenz, dem Applikatioun säi Vertrauensmodell stëll z'ersetzen.

Verbindt Identitéit an Zäit, ier Dir eng Persoun nennt

Eng Flossopzeechnung mat enger interner Quelladress bedeit näischt, bis déi Adress zur selwechter Zäit mat enger Sessioun verbonnen ass. Adressen ginn erëmbenotzt, an déi selwecht Adress kann eng Stonn virdrun zu enger anerer Sessioun gehéiert hunn. Statesch Zoudeelung ass eng Manéier, d'Associatioun ze halen, net déi eenzeg.

Iwwersetzungsgrenzen schwächen d'Verknëppung weider. Wann e puer Geräter schonn eng Quelladress gedeelt hunn, ier Ären Observatiounspunkt ufänkt, ass dat Bescht, wat Dir identifizéiere kënnt, d'gemeinsam Gateway-Sessioun an net een eenzegt Gerät. En Zertifikat oder e Kont, deen e puer Leit benotzen, huet deen nämmlechten Effekt.

Halt Zäitzonen, Auerquellen, Observatiounspunkten an all Iwwersetzungsschrack fest. Fehlend Opzeechnunge kënnen heeschen, datt eng Flossopzeechnung ofgelaf ass, datt en Sensor ëmgaang gouf oder datt en Applikatiounslog ausgeschalt war. D'Feele ass kee Beweis, datt näischt geschitt ass.

Definéiert duerno déi minimal Felder, déi erlaabt Lieser an d'Aufbewahrungsdauer fir de genannte Zweck. Korrelatioun a falsch Zouuerdnung sinn Designfroen an net en Nodro, an Metadaten, déi Leit identifizéieren, verdéngen dee selwechte Schutz wéi d'Identitéitsmapping, vun deem se ofhänken.

Test den Audit mat Aktivitéit, déi Dir kontrolléiert

Generéiert erlaabten Traffic, vun deem Dir d'Sessioun an d'Applikatioun schonn kennt, a kontrolléiert duerno, wat all Opzeechnung tatsächlech erfaasst huet. Maacht eng Sich ouni d'Säit ze lueden, lued e Säit aus dem Cache a maacht eng Verbindung iwwer e Proxy op, a kuckt, wéi eng Evenementer erschéngen.

Rapportéiert d'Evenement, dat d'Beweiser ënnerstëtzen, a sot, wat se net ofdecken. Eng bescheide Opzeechnung mat engem genannte Beräich iwwerlieft d'Iwwerpréiwung; eng ambitiéis Surfhistorie, déi aus Vermuddungen zesummegesat ass, iwwerlieft dat net.