Kur VPN vartotojo vardas dingsta iš žurnalų srauto?
Prieš keisdami žurnalų privatumo valdiklį, palyginkite tinklų sietuvo įvykį, neapdorotą rinktuvo kopiją, indeksuotą įvykį ir lauką paieškos metu.
Sesijos rodomos prietaisų skydelyje, o vartotojo vardo stulpelis lieka tuščias, ir pirmoji mintis yra kaltinti analizatorių. Ši mintis praleidžia tris ankstesnius etapus, kuriuose reikšmė galėjo būti prarasta. Tinklų sietuvas gali užmaskuoti tapatybę pagal politiką, priėmimo taisyklė gali ją ištrinti prieš indeksavimą, o išgavimas paieškos metu gali tiesiog nesugebėti jos įvardyti. Pataisa priklauso nuo to, kurią ribą galite įrodyti esant atsakingą, todėl naudingas darbas yra palyginimas, o ne konfigūravimas.
Pradėkite nuo vieno įvykio, o ne nuo prietaisų skydelio
Pasirinkite vieną autentifikavimo įvykį ir užrašykite, kas jį identifikuoja: tinklų sietuvo modelis ir versija, autentifikavimo metodas, įvykio identifikatorius, laiko žyma ir šaltinio adresas. Pridėkite vartotojo vardą tiksliai taip, kaip jį įvedė žmogus, įskaitant didžiąsias ir mažąsias raides, nes paieška, jautri raidžių dydžiui, gali paslėpti egzistuojantį lauką. Laikykite tą įvykį atskaitos tašku kiekvienam vėlesniam palyginimui.
Įvykių tipai nesidalija ta pačia schema. Nepavykęs bandymas, sėkmingas prisijungimas be kliento ir tunelio atnaujinimas gali duoti skirtingus laukus, o kai kurie tinklų sietuvai praleidžia tapatybę, kai bandymas niekada nepasiekė vartotojo autentifikavimo. Todėl tuščias stulpelis viename įvykio tipe yra silpnas srauto problemos įrodymas.
Dirbkite su patvirtinta bandomąja tapatybe, o ne su tikra darbuotojo paskyra, ir laikykite palyginimą prieigos taisyklėse, kurios jau reglamentuoja žurnalų duomenis. Išsamaus autentifikavimo registravimo plačiai įjungimas vien tam, kad gautumėte pavyzdį, pakeičia sistemą, kurią bandote išmatuoti.
Palyginkite keturias ribas iš eilės
Reikšmė gali dingti viename iš keturių taškų. Kiekvienas taškas turi skirtingą savininką ir skirtingą pataisą.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Sustokite prie pirmos ribos, kurioje reikšmė dingsta. Įrenginio rodinio ir neapdorotos kopijos neatitikimas rodo transportavimą arba rinktuvo konfigūraciją; sutapimas ten, bet trūkstama reikšmė indeksuotame įvykyje rodo transformaciją; indeksuotame įvykyje esanti, bet prietaisų skydelyje nematoma reikšmė rodo išgavimą arba užklausą.
Ši tvarka svarbi, nes kiekvienas vėlesnis etapas gali tik prarasti informaciją, niekada jos neatkurti. Reguliarusis reiškinys negali atkurti eilutės, kurią ankstesnis etapas pakeitė vietos žymekliu, o privatumo nuostata negali paaiškinti reikšmės, kuri niekada nebuvo išsiųsta.
Maskavimas šaltinyje yra politika, o ne analizatoriaus klaida
Cisco ASA registravimo dokumentacija aprašo vartotojo vardo slėpimą kaip konfigūruojamą elgseną, įskaitant tai, kaip pateikiami negaliojantys ar nežinomi vartotojų vardai. Todėl užmaskuota tapatybė šaltinio įvykyje gali būti būtent tai, ko reikalauja privatumo politika, o jos traktavimas kaip analizės gedimo veda prie prašymo, kuris susilpnina valdiklį.
Tikslus pateikimas priklauso nuo versijos ir pranešimo tipo. Vienas įvykis gali turėti vietos žymeklį, kitas gali visiškai praleisti lauką, o autentifikavimo gedimas gali niekada neapimti vardo. Patikrinkite dokumentuotą konkretaus įvykio elgseną, o ne taikykite seną klaidos ataskaitą kiekvienai trūkstamai tapatybei.
Kai maskavimas yra tyčinis, klausimas keičiasi iš to, kaip atkurti lauką, į tai, ar audito reikalavimą galima patenkinti kitu būdu. Sesijos identifikatoriai, mažesnės grupės laikomas kontroliuojamas tapatybių susiejimas arba siauresnis leidžiamas įvykių srautas dažnai patenkina poreikį neparodant kiekvieno bandyto vartotojo vardo kiekvienam žurnalų skaitytojui.
Anonimizavimo prieš indeksavimą atšaukti negalima
Splunk dokumentacija apie įvykių apdorojimą aprašo anonimizavimą naudojant sed išraiškas ir transformacijas, kurios perrašo arba pašalina duomenis prieš indeksavimą. Būtent ši vieta ir yra esmė: neapdorotas įvykis pakeičiamas įeinant, todėl išgavimui paieškos metu nebelieka ko rasti.
Redagavimas indeksavimo metu ir laukų išgavimas paieškos metu sprendžia skirtingas problemas. Redagavimas apriboja, kas apskritai gali matyti reikšmę; išgavimas tik nusprendžia, kurį vardą naudoja užklausa. Maišos funkcija yra tarpinė parinktis, kuri išsaugo koreliaciją, tačiau stabili maiša mažoje vartotojų vardų erdvėje vis tiek identifikuoja, kai kas nors gali ja tikrinti kandidatinius vardus.
Jei saugomas įvykis vis dar turi tapatybę, problema yra toliau: šaltinio tipas, eilučių skaidymas, skirtukų apdorojimas, laukų pseudonimai arba pati užklausa. Tai įprasti analizės pataisymai, ir jie neliečia privatumo ribos.
Pasirinkite pataisą, atitinkančią ribą
Atsakymą lemia trys sąlygos. Pirma, ar privatumo politika ketina neįtraukti tapatybės? Antra, ar audito ar tyrimo procesui reikia tapatybės, pseudonimo, ar tik sesijos? Trečia, prie kurios ribos reikšmės reikia — rinkimo, saugojimo ar pateikimo?
Jei politika ketina neįtraukti, keiskite reikalavimą arba pateikimą, o ne valdiklį. Jei politika leidžia tapatybę, bet rinkimas ją pameta, pataisykite rinktuvą ir patvirtinkite neapdorotą įvykį. Jei saugojimas nepažeistas, pataisykite išgavimą ir patikrinkite jį su pradžioje užfiksuotu patvirtintu įvykiu.
Užbaikite tyrimą pakeitimų įraše įvardydami ribą: užmaskuota šaltinyje, pašalinta priėmimo metu arba praleista išgavimo. Tas vienas sakinys pasako kitam inžinieriui, kur pirmiausia žiūrėti, ir neleidžia skundui dėl prietaisų skydelio virsti tyliai išjungta privatumo funkcija.