Ką VPN žurnalas gali ir ko negali įrodyti apie naršymą

Prieš rinkdamiesi žurnalų rinktuvą, nuspręskite, kurį įvykį auditas turi nustatyti. Klausti, kuri VPN sesija susisiekė su paskirties adresu, yra kitas klausimas nei klausti, kuris asmuo atidarė konkrečią puslapį. Abu reikalauja skirtingų įrašų, skirtingų sujungimų ir skirtingo pasitikėjimo lygio. OpenVPN ryšio žurnalas atsako į pirmąjį ir negali atsakyti į antrąjį.

Įvardykite įvykį prieš pasirinkdami rinktuvą

Sesijos įrašas rodo priimtą tapatybę, pradžios ir pabaigos laiką ir adresą, kurį serveris skyrė pagal savo politiką. Sprendėjo žurnalas rodo, kad tame sprendėje buvo užklaustas vardas. Srauto įrašas rodo adresus, prievadus, protokolą ir laiką, o programos žurnalas rodo sandorį, kurį ta programa iš tikrųjų apdorojo. Nė vienas iš tų keturių nepakeičia kito.

Kiekvienas jų nustato vieną įvykį, o kitus palieka atvirus. Klausimo užrašymas pirmiausia neleidžia sudėlioti istorijos, kurios duomenys negali pagrįsti.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Pirmoji komanda rodo sesijos įvykius iš tarnybos žurnalo. Antroji išspausdina dabartinį klientų sąrašą su priskirtais adresais, o tai yra susiejimas, nuo kurio priklauso audito sujungimas. Trečioji rodo gyvą srauto būseną, naudingą tik tol, kol ryšys dar egzistuoja.

Paieška nėra apsilankymas

Naršyklė vardus išsprendžia spekuliatyviai, atsakymus talpina podelyje ir naudoja juos pakartotinai, nesikreipdama į stebimą sprendėją dar kartą. Todėl vardas sprendėjo žurnale įrodo paiešką, o ne apsilankymą. DNS per HTTPS padidina šią spragą, nes tam sukonfigūruota naršyklė siunčia savo klausimus ten, kur jūsų įprastas registratorius jų niekada nemato.

Paskirties adresai patys savaime nėra geresni. Vienas adresas gali priimti daug nesusijusių svetainių, atvirkštinis DNS yra spėjimas, o ne rekonstrukcija, o TLS rankos paspaudimo metu matomas mazgo vardas nėra užklausos kelias užšifruotos sesijos viduje.

Tiksliems sandoriams reikia pačios programos įvykių įrašų arba tarpinio serverio dizaino, kuris aiškiai palaikomas žurnalavimui. CONNECT tunelis suteikia tarpiniam serveriui paskirties vietą ir apimtį, o ne puslapių kelius jo viduje. Administracinė prieiga prie tinklo nėra licencija tyliai pakeisti programos pasitikėjimo modelį.

Sujunkite tapatybę ir laiką, prieš įvardydami asmenį

Srauto įrašas su vidiniu šaltinio adresu nieko nereiškia, kol tas adresas tuo pačiu metu nesujungtas su sesija. Adresai naudojami pakartotinai, ir tas pats adresas prieš valandą galėjo priklausyti kitai sesijai. Statinis priskyrimas yra vienas būdas išlaikyti ryšį, bet ne vienintelis.

Vertimo ribos dar labiau silpnina sujungimą. Jei keli įrenginiai jau dalijosi vienu šaltinio adresu prieš jūsų stebėjimo tašką, geriausia, ką galite nustatyti, yra bendra tinklų sietuvo sesija, o ne vienas įrenginys. Sertifikatas arba paskyra, kurią naudoja keli žmonės, turi tą patį poveikį.

Užrašykite laiko juostas, laikrodžio šaltinius, stebėjimo taškus ir kiekvieną vertimo žingsnį. Trūkstami įrašai gali reikšti, kad srauto įrašas paseno, jutiklis buvo apeitas arba programos žurnalas buvo išjungtas. Nebuvimas nėra įrodymas, kad nieko neįvyko.

Tada apibrėžkite minimalius laukus, leidžiamus skaitytojus ir saugojimo laikotarpį nurodytam tikslui. Koreliacija ir klaidingas priskyrimas yra dizaino klausimai, o ne vėlesnė mintis, o metaduomenys, identifikuojantys žmones, nusipelno tokios pačios apsaugos kaip tapatybės susiejimas, nuo kurio jie priklauso.

Išbandykite auditą veikla, kurią kontroliuojate

Sugeneruokite leidžiamą srautą, kurio sesiją ir programą jau žinote, tada patikrinkite, ką iš tikrųjų užfiksavo kiekvienas įrašas. Atlikite paiešką neįkeldami puslapio, įkelkite puslapį iš podėlio ir atidarykite ryšį per tarpinį serverį, ir pažiūrėkite, kokie įvykiai pasirodo.

Praneškite apie įvykį, kurį pagrindžia įrodymai, ir pasakykite, ko jie neapima. Kuklus įrašas su nurodyta apimtimi atlaiko peržiūrą; ambicinga naršymo istorija, sudėliota iš spėjimų, neatlaiko.