VPN žurnalų saugojimas: susiekite jį su incidentu, o ne su skaičiumi
Saugojimas priklauso nuo incidento, turinio ir politikos, o ne nuo universalaus termino. Raskite kiekvieną kopiją, sustabdykite išsamią rinkimą ir veskite trumpą įrašą.
Niekas iš tiesų neklausia, kiek laiko saugoti VPN žurnalą; klausiama, kam žurnalas skirtas, ir atsakymas į tai nustato datą. Iš vieno incidento gali išeiti du skirtingos trukmės failai, o traktuojant juos kaip vieną politiką atsiranda ir per didelis saugojimas, ir prarasti įrodymai. Derinimo eksportas, užfiksuotas kol priežastis buvo nežinoma, nėra tas pats artefaktas kaip eilutė stebėjimo saugykloje. Pradėkite nuo tikslo, tada pasirinkite datą.
Atsakykite į keturis klausimus prieš pasirinkdami datą
Keturi klausimai nusprendžia, ar failas lieka: ar incidentas dar atviras, kas yra faile, kam reikia jį skaityti ir ko reikalauja taikoma politika. Atsakykite šia tvarka ir saugojimo data išryškės savaime. Loginė seka telpa į lentelę:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Kol incidentas atviras, laikykite vieną apsaugotą originalą, kad vėliau galėtumėte palyginti įvykius ar atsakyti į palaikymo klausimą, ir skirkite jam savininką bei tikslą raštu. Bet kam už reagavimo komandos ribų paprastai pakanka trumpos redaguotos ištraukos, ir ją apginti daug lengviau nei visą eksportą. Originalas ir ištrauka yra atskiri artefaktai su atskira auditorija, ir būtent jų sujungimas sukuria ir per didelį saugojimą, ir prarastus įrodymus. Politika nustato apatinę ribą, tad jei ji reikalauja ilgiau nei jūsų samprotavimas, laimi politika.
Uždarykite incidentą įrašu, o ne eksportu
Įrašykite į bilietą keturių eilučių įrašą: simptomą, klientą ir versiją, vieną klaidos eilutę, kuri jį identifikavo, ir pataisymą. Nieko daugiau nepridėkite, nes eksportas buvo jums, o įrašas skirtas kitam žmogui.
Įrašą taip pat labiau tikėtina, kad perskaitys: visas eksportas daugiausia pasitarnauja tam, kas jį užfiksavo, o tas žmogus jau žino, kas nutiko. Laikykite įrašą ten, kur bus ieškoma kito incidento, o tai paprastai reiškia bilietą, o ne aplanką, pavadintą data. Bylos numeris gali nešti nuorodą, jei įrašas turi būti atsekamas neatskleidžiant ryšio identifikatoriaus. Jei kuris nors klausimas dar atviras, originalas lieka pagal aukščiau nurodytą apsaugotos kopijos taisyklę; kai įrašas egzistuoja, visa kita gali išeiti.
Raskite kiekvieną kopiją prieš ištrindami vieną
Pažiūrėkite į eksporto aplanką, tada į incidento lango žurnalą, tada į bilieto priedus, tada į atsarginių kopijų katalogą, tada į stebėjimo saugyklą. Jei tas pats ryšio identifikatorius atsiranda penktoje vietoje, inventorius buvo neteisingas. Žurnalas yra įprasta staigmena, nes jis toliau rinko duomenis, kol jūs skaitėte eksportą.
Naudokite palaikomą rotacijos ir trynimo kelią, o ne atjunkite failus rankiniu būdu. Failas, kuris dar atidarytas, išlaiko savo saugyklą po to, kai katalogo įrašas išnyksta, todėl trynimas atrodo baigtas ir nieko neatlaisvina. Tai saugyklos klaida su privatumo etikete, ir ji netenkina nė vieno iš dviejų tikslų.
Sustabdykite rinkimą prieš patikrindami trynimą
Sustabdykite laikiną išsamią rinkimą per programą, kuri ją valdo, o ne redaguodami jos išvesties failą. Pamirštas derinimo nustatymas toliau rašo naujus įrašus po to, kai seni buvo pašalinti, ir tai tyliai panaikina ką tik atliktą darbą. Patikrinkite faktinį žurnalų lygį, o ne vertę, kurią prisimenate nustatę. Tada patvirtinkite, kad tai, kas liko, yra apsaugota ir kad tik numatyti žmonės gali tai gauti.
Principas yra duomenų minimizavimas: laikykite tai, ko reikia deklaruotam tikslui, tiek, kiek reikia, ir nieko daugiau, kaip tai RFC 6973 privatumo gairės formuluoja. Failas, saugomas be tikslo, yra įsipareigojimas su laiko žyma. Sprendimas baigtas, kai galite įvardyti failą, jo tikslą, savininką ir pabaigos datą.