Ko VPN žurnāls var un ko nevar pierādīt par pārlūkošanu

Pirms izvēlaties žurnālu savācēju, izlemiet, kuru notikumu auditam jānosaka. Jautājums, kura VPN sesija sazinājās ar galamērķa adresi, atšķiras no jautājuma, kura persona atvēra konkrētu lapu. Abiem vajadzīgi atšķirīgi ieraksti, atšķirīgi savienojumi un atšķirīgs uzticības līmenis. OpenVPN savienojuma žurnāls atbild uz pirmo un nevar atbildēt uz otro.

Nosauciet notikumu pirms savācēja izvēles

Sesijas ieraksts parāda pieņemtu identitāti, sākuma un beigu laiku un adresi, ko serveris piešķīra saskaņā ar savu politiku. Atrisinātāja žurnāls parāda, ka šajā atrisinātājā tika vaicāts vārds. Plūsmas ieraksts parāda adreses, portus, protokolu un laiku, un lietojumprogrammas žurnāls parāda darījumu, ko šī lietojumprogramma faktiski apstrādāja. Neviens no šiem četriem neaizstāj citu.

Katrs no tiem nosaka vienu notikumu un atstāj pārējos atvērtus. Jautājuma pierakstīšana vispirms neļauj jums izveidot stāstu, ko dati nevar atbalstīt.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Pirmā komanda parāda sesijas notikumus no pakalpojuma žurnāla. Otrā izdrukā pašreizējo klientu sarakstu ar piešķirtajām adresēm, un tas ir kartējums, no kā atkarīgs audita savienojums. Trešā parāda dzīvu plūsmas stāvokli, kas noder tikai tik ilgi, kamēr savienojums pastāv.

Meklēšana nav apmeklējums

Pārlūks vārdus atrisina spekulatīvi, atbildes kešatmiņā un izmanto tās atkārtoti, no jauna nevaicājot uzraudzītajam atrisinātājam. Tāpēc vārds atrisinātāja žurnālā pierāda meklēšanu, nevis apmeklējumu. DNS virs HTTPS paplašina šo plaisu, jo tam konfigurēts pārlūks sūta savus jautājumus tur, kur jūsu parastais reģistrētājs tos nekad neredz.

Galamērķa adreses pašas par sevi nav labākas. Viena adrese var mitināt daudzas nesaistītas vietnes, apgrieztais DNS ir minējums, nevis rekonstrukcija, un TLS rokasspiediena laikā redzamais resursdatora nosaukums nav pieprasījuma ceļš šifrētās sesijas iekšienē.

Precīziem darījumiem vajadzīgi pašas lietojumprogrammas notikumu ieraksti vai starpniekservera dizains, kas ir skaidri atbalstīts žurnālēšanai. CONNECT tunelis starpniekserverim dod galamērķi un apjomu, nevis lapu ceļus tajā. Administratīva piekļuve tīklam nav licence klusi aizstāt lietojumprogrammas uzticības modeli.

Savienojiet identitāti un laiku, pirms nosaucat personu

Plūsmas ieraksts ar iekšēju avota adresi neko nenozīmē, kamēr šī adrese tajā pašā laikā nav savienota ar sesiju. Adreses tiek izmantotas atkārtoti, un tā pati adrese stundu agrāk varēja piederēt citai sesijai. Statiska piešķiršana ir viens veids, kā saglabāt saistību, ne vienīgais.

Tulkošanas robežas vēl vairāk vājina savienojumu. Ja vairākas ierīces jau dalījās ar vienu avota adresi pirms jūsu novērošanas punkta, labākais, ko varat identificēt, ir kopīgā vārtejas sesija, nevis viena ierīce. Sertifikāts vai konts, ko izmanto vairāki cilvēki, rada tādu pašu efektu.

Pierakstiet laika joslas, pulksteņa avotus, novērošanas punktus un katru tulkošanas soli. Trūkstoši ieraksti var nozīmēt, ka plūsmas ieraksts ir novecojis, sensors ir apieti vai lietojumprogrammas žurnāls bija izslēgts. Neesamība nav pierādījums, ka nekas nav noticis.

Pēc tam definējiet minimālos laukus, atļautos lasītājus un glabāšanas periodu norādītajam mērķim. Korelācija un nepareiza attiecināšana ir dizaina jautājumi, nevis vēlāka doma, un metadati, kas identificē cilvēkus, ir pelnījuši tādu pašu aizsardzību kā identitātes kartējums, no kura tie ir atkarīgi.

Pārbaudiet auditu ar darbību, ko kontrolējat

Ģenerējiet atļautu trafiku, kura sesiju un lietojumprogrammu jau zināt, pēc tam pārbaudiet, ko katrs ieraksts faktiski uztvēra. Veiciet meklēšanu, neielādējot lapu, ielādējiet lapu no kešatmiņas un atveriet savienojumu caur starpniekserveri, un skatiet, kuri notikumi parādās.

Ziņojiet par notikumu, ko pierāda pierādījumi, un sakiet, ko tie neaptver. Pieticīgs ieraksts ar norādītu tvērumu iztur pārskatīšanu; ambicioza pārlūkošanas vēsture, kas veidota no minējumiem, neiztur.