VPN žurnālu glabāšana: saistiet to ar incidentu, ne ar skaitli
Glabāšana izriet no incidenta, satura un politikas, nevis no universāla termiņa. Atrodiet katru kopiju, pārtrauciet detalizētu vākšanu un uzturiet īsu ierakstu.
Neviens īsti nejautā, cik ilgi glabāt VPN žurnālu; jautā, kam žurnāls domāts, un atbilde uz to nosaka datumu. No viena incidenta var rasties divas dažāda mūža faili, un to uztveršana kā viena politika rada gan pārmērīgu glabāšanu, gan zaudētus pierādījumus. Atkļūdošanas eksports, kas uzņemts, kamēr cēlonis vēl nebija zināms, nav tā pati artefakta kā rinda uzraudzības krātuvē. Sāciet ar mērķi un pēc tam izvēlieties datumu.
Atbildiet uz četriem jautājumiem pirms datuma izvēles
Četri jautājumi izšķir, vai fails paliek: vai incidents vēl ir atvērts, kas ir failā, kam tas jālasa un ko prasa piemērojamā politika. Atbildiet šādā secībā, un glabāšanas datums izriet pats. Pamatojums iekļaujas tabulā:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Kamēr incidents ir atvērts, turiet vienu aizsargātu oriģinālu, lai vēlāk varētu salīdzināt notikumus vai atbildēt uz atbalsta jautājumu, un piešķiriet tam īpašnieku un mērķi rakstiski. Ikvienam ārpus reaģēšanas komandas parasti pietiek ar īsu rediģētu izvilkumu, un to ir daudz vieglāk aizstāvēt nekā pilnu eksportu. Oriģināls un izvilkums ir atsevišķas artefaktas ar atsevišķu auditoriju, un tieši to apvienošana rada gan pārmērīgu glabāšanu, gan zaudētus pierādījumus. Politika nosaka apakšējo robežu, tāpēc, ja tā prasa ilgāku laiku nekā jūsu pamatojums, uzvar politika.
Noslēdziet incidentu ar ierakstu, nevis ar eksportu
Ierakstiet biļetenā četru rindu ierakstu: simptomu, klientu un versiju, vienu kļūdas rindu, kas to identificēja, un labojumu. Nepievienojiet neko citu, jo eksports bija jums, bet ieraksts ir nākamajam cilvēkam.
Ierakstu arī ir lielāka iespēja, ka izlasīs: pilns eksports galvenokārt kalpo tam, kurš to uzņēma, un šis cilvēks jau zina, kas notika. Turiet ierakstu tur, kur tiks meklēts nākamais incidents, kas parasti nozīmē biļetenu, nevis mapi ar datuma nosaukumu. Lietas numurs var nest atsauci, ja ierakstam jābūt izsekojamam, neizpaužot savienojuma identifikatoru. Ja kāds jautājums vēl ir atvērts, oriģināls paliek saskaņā ar iepriekš minēto aizsargātās kopijas noteikumu; kad ieraksts pastāv, viss pārējais var iet.
Atrodiet katru kopiju pirms vienas dzēšanas
Paskatieties eksporta mapē, tad incidenta loga žurnālā, tad biļetena pielikumos, tad dublējumu katalogā, tad uzraudzības krātuvē. Ja tas pats savienojuma identifikators parādās piektajā vietā, uzskaite bija nepareiza. Žurnāls ir ierastais pārsteigums, jo tas turpināja vākt, kamēr jūs lasījāt eksportu.
Izmantojiet atbalstīto rotācijas un dzēšanas ceļu, nevis atvienojiet failus ar roku. Fails, kas joprojām ir atvērts, saglabā savu krātuvi pēc tam, kad direktorijas ieraksts pazūd, tāpēc dzēšana izskatās pabeigta un neko neatbrīvo. Tā ir krātuves kļūda ar privātuma etiķeti, un tā neapmierina nevienu no abiem mērķiem.
Pārtrauciet vākšanu pirms dzēšanas pārbaudes
Pārtrauciet īslaicīgo detalizēto vākšanu, izmantojot lietotni, kurai tā pieder, nevis rediģējot tās izvades failu. Aizmirsts atkļūdošanas iestatījums turpina rakstīt jaunus ierakstus pēc veco noņemšanas, un tas klusi atceļ tikko veikto darbu. Pārbaudiet faktisko žurnālēšanas līmeni, nevis vērtību, kuru atceraties esam iestatījis. Pēc tam apstipriniet, ka atlikušais ir aizsargāts un ka to var iegūt tikai paredzētās personas.
Princips ir datu minimizēšana: turiet to, kas nepieciešams deklarētam mērķim, tik ilgi, cik nepieciešams, un ne vairāk, kā to RFC 6973 privātuma vadlīnijas formulē. Fails, kas glabāts bez mērķa, ir saistības ar laika zīmogu. Lēmums ir pabeigts, kad varat nosaukt failu, tā mērķi, īpašnieku un beigu datumu.