Izlasiet savu VPN žurnālu pirms tā nosūtīšanas: lauks pa laukam

Jūs atverat atbalsta biļeti, pievienojat klienta izveidoto diagnostikas eksportu un gaidāt. Failā, iespējams, vispār nav pārlūkošanas vēstures, un tieši tas liek tam šķist drošam. Tomēr tajā ir, kas esat, kuru mašīnu izmantojāt, kuras iekšējās adreses un kad sasniedzāt, un dažreiz privāta atslēga, ko nokopējis klients, kas reģistrē savu konfigurāciju. Faila pārskatīšana pirms nosūtīšanas aizņem apmēram piecas minūtes un novērš pastāvīgu atklāšanu.

Atveriet to un izlasiet pirmās četrdesmit rindas

Sāciet no augšas, kur klienti parasti izber versiju, platformu un konfigurāciju. Pirmās rindas pasaka, cik faila ir detalizēts, un tas nosaka, cik daudz no pārējā jums jāņem vērā. Noklusējuma žurnāls un atkļūdošanas žurnāls ir atšķirīgi artefakti ar atšķirīgu ietekmi.

head -n 40 vpn-support.log
sed -n '1,40p' vpn-support.log | grep -nE 'version|platform|config|option'

Pārbaudiet arī faila izmēru un formu, pirms lasāt no tā jebko. Divu megabaitu teksta failu ar vienu atkārtotu notikumu ir viegli apgriezt. Binārs ieraksts tajā pašā mapē ir pavisam cita problēma, un tam nepieciešama cita saruna ar to, kurš pieprasīja eksportu.

Operētājsistēmā Windows ekvivalenti ir pa vienam cmdlet, un pirmo ir vērts palaist jebkurā failā, ko neesat izveidojis pats:

Get-Content .\vpn-support.txt -TotalCount 40
Get-Item .\vpn-support.txt | Select-Object Length,LastWriteTime

Lauki, kas identificē personu

Lietotājvārdi parādās vietās, kur cilvēki tos negaida: autentifikācijai izmantotais konts, sertifikāta subjekts, profila ceļš zem mājas direktorijas un mašīnas nosaukums, kas bieži kodē īstu vārdu. Žurnāls, kas rediģē konta lauku un atstāj mājas ceļu neskartu, nav rediģējis neko.

Konsekvence ir svarīgāka par pilnīgumu, kad atbalsta inženierim jāseko vienai sesijai cauri failam. Aizstājiet vērtības ar stabilām birkām, nevis dzēsiet tās, lai katra viena un tā paša lietotāja parādīšanās joprojām būtu lasāma kā tas pats lietotājs. Lauka pilnīga dzēšana pārtrauc pavedienu, kas inženierim vajadzīgs, un failu drošāku nepadara.

Laika zīmogs kopumā arī ir personas dati. Laiki, kad konts pieslēdzās, ņemti mēneša garumā, apraksta darba laiku un ceļojumus. Ja jautājumam nav vajadzīgs viss diapazons, apgrieziet failu līdz logam ap notikumu.

Lauki, kas identificē tīklu

Galapunktu adreses, iekšējie maršruti un uzstumtās opcijas apraksta privāta tīkla formu. Tā ir tieši tā informācija, ko uzbrucējs gribētu iegūt, un tā parasti ir daudz detalizētāka, nekā biļetei vajag.

Meklējiet izmantoto adrešu saimi, ne tikai to, ko gaidījāt. Klienta ar divkāršu steku žurnālā var būt IPv6 galapunkts un IPv6 maršrutu kopa, par kuru rediģēšanu neviens nedomāja, jo pārbaude meklēja tikai punktotos četriniekus.

grep -nEo '([0-9]{1,3}\.){3}[0-9]{1,3}' vpn-support.log | sort -u | head -n 40
grep -nEo '([0-9a-fA-F]{0,4}:){2,7}[0-9a-fA-F]{0,4}' vpn-support.log | sort -u | head -n 20

Unikālais saraksts ir būtība. Tas pasaka, cik dažādas adreses fails piemin, un tas parasti ir daudz mazāk, nekā šķiet ritinot. Tas arī dod kontrolsarakstu rediģēšanai un veidu, kā pierādīt, ka esat aptvēris visas. Desmit adreses ir piecu minūšu darbs, un simts pasaka, ka eksports ir plašāks par jautājumu.

Saglabājiet topoloģiju, ja inženierim tā nepieciešama. Otrā un trešā okteta aizstāšana, saglabājot apakštīkla attiecības, atbild uz jautājumu, nepublicējot diapazonu. Tas pats triks darbojas IPv6 prefiksiem. Inženierim vajadzīga kļūmes forma, un forma saglabājas pēc konsekventas aizstāšanas.

Noslēpumi slēpjas formās, nevis birkās

Privātai atslēgai nav vajadzīgs vārds “password” tuvumā. Tā parādās kā bloks starp marķieru rindām, kā gara base64 virkne vai kā iekļauts konfigurācijas izgājums. Marķieri parādās kā vaicājuma parametri, un akreditācijas dati parādās URL iekšpusē, ko klients reģistrējis burtiski.

grep -nE 'BEGIN [A-Z ]*PRIVATE KEY|password|passwd|token|secret|psk|auth-user-pass' vpn-support.log
grep -nE 'https?://[^ ]*:[^ ]*@' vpn-support.log

Otrais modelis ir tas, ko cilvēki aizmirst. URL ar formu shēma, lietotājs, parole, resursdators ir pilnīgi akreditācijas dati, un klienti šādus URL reģistrē vienmēr, kad starpniekserveris vai plūsma ir konfigurēta ar iekļautu autentifikāciju.

Nekad nesūtiet oriģinālo failu kā pierādījumu, ka neesat to rediģējis. Ja operators uzstāj uz nemainītu eksportu, pajautājiet, kam tas vajadzīgs, nosūtiet to pa viņu pārbaudīto atbalsta kanālu un pēc tam izdzēsiet savu lokālo kopiju. Šis lūgums ir likumīgs; publiska ielīmēšana nav.

Izveidojiet rediģēto kopiju un nosūtiet izvilkumu

Strādājiet ar kopiju, glabājiet oriģinālu aizsargātā vietā un rediģējiet ar atkārtojamu komandu, nevis ar roku. Viena pāreja pāri adrešu modeļiem noķer lielāko daļu:

cp vpn-support.log vpn-support.original.log
sed -E 's/([0-9]{1,3}\.){3}[0-9]{1,3}/ADDR/g; s/[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+/USER@DOMAIN/g' \
  vpn-support.original.log > vpn-support.redacted.log
grep -cE 'PRIVATE KEY|password|token' vpn-support.redacted.log

Galīgajam skaitam jābūt nullei. Ja tā nav, rediģēšanas pāreja palaida garām formu, un pirms kaut kā sūtīšanas jums jāaplūko tās rindas. Izlasiet rediģēto failu arī vienu reizi ar savām acīm; skripts noķer modeļus, nevis kontekstu.

Nosūtiet mazāko izvilkumu, kas joprojām parāda kļūmi. Desmit rindas ap kļūdu parasti ir pietiekami, un tās ir daudz vieglāk pārskatīt nekā divu megabaitu failu. Pēc tam glabājiet birkas un īstās vērtības atbilstību vietā, ko kontrolējat, jo turpmākajam jautājumam tā būs vajadzīga.

OpenVPN žurnālu dokumentācija apraksta, kā detalizācijas līmeņi maina to, kas tiek reģistrēts, un tas ir noderīgs konteksts, lai izlemtu, cik daudz no faila problēmai patiešām vajadzīgs.