Kur VPN lietotājvārds pazūd no žurnālu plūsmas?
Pirms mainīt žurnālu privātuma kontroli, salīdziniet vārtejas notikumu, savācēja neapstrādāto kopiju, indeksēto notikumu un lauku meklēšanas laikā.
Sesijas parādās panelī, kamēr lietotājvārda kolonna paliek tukša, un pirmā doma ir vainot parsētāju. Šī doma izlaiž trīs agrākus posmus, kuros vērtība varēja tikt pazaudēta. Vārteja var maskēt identitāti saskaņā ar politiku, ievades noteikums var to izdzēst pirms indeksēšanas, un izguve meklēšanas laikā var vienkārši neizdoties to nosaukt. Labojums ir atkarīgs no tā, kuru robežu varat pierādīt kā atbildīgo, tāpēc noderīgais darbs ir salīdzināšana, nevis konfigurēšana.
Sāciet ar vienu notikumu, nevis ar paneli
Izvēlieties vienu autentifikācijas notikumu un pierakstiet, kas to identificē: vārtejas modelis un versija, autentifikācijas metode, notikuma identifikators, laika zīmogs un avota adrese. Pievienojiet lietotājvārdu tieši tā, kā cilvēks to ievadīja, ieskaitot lielos un mazos burtus, jo meklēšana, kas ir jutīga pret burtu lielumu, var paslēpt eksistējošu lauku. Uzskatiet šo notikumu par atsauci katram vēlākam salīdzinājumam.
Notikumu tipi nedala vienu shēmu. Neveiksmīgs mēģinājums, veiksmīga pieteikšanās bez klienta un tuneļa atkārtota savienošana var radīt dažādus laukus, un dažas vārtejas izlaiž identitāti, ja mēģinājums nekad nav sasniedzis lietotāja autentifikāciju. Tāpēc tukša kolonna vienā notikuma tipā ir vājš plūsmas problēmas pierādījums.
Strādājiet ar apstiprinātu testa identitāti, nevis ar īstu darbinieka kontu, un turiet salīdzinājumu piekļuves noteikumos, kas jau reglamentē žurnālu datus. Detalizētas autentifikācijas reģistrēšanas plaša ieslēgšana tikai parauga iegūšanai maina sistēmu, kuru mēģināt izmērīt.
Salīdziniet četras robežas secībā
Vērtība var pazust vienā no četriem punktiem. Katram punktam ir cits īpašnieks un cits labojums.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Apstājieties pie pirmās robežas, kur vērtība pazūd. Neatbilstība starp ierīces skatu un neapstrādāto kopiju norāda uz transportēšanu vai savācēja konfigurāciju; sakritība tur, bet trūkstoša vērtība indeksētajā notikumā norāda uz transformāciju; vērtība, kas ir indeksētajā notikumā, bet nav redzama panelī, norāda uz izguvi vai vaicājumu.
Šī secība ir svarīga, jo katrs vēlākais posms var tikai zaudēt informāciju, nekad to atjaunot. Regulāra izteiksme nevar atgūt virkni, kuru agrāks posms aizstāja ar vietturi, un privātuma iestatījums nevar izskaidrot vērtību, kas nekad netika nosūtīta.
Maskēšana avotā ir politika, nevis parsētāja kļūda
Cisco ASA reģistrēšanas dokumentācija apraksta lietotājvārda slēpšanu kā konfigurējamu uzvedību, ieskaitot to, kā tiek attēloti nederīgi vai nezināmi lietotājvārdi. Tāpēc maskēta identitāte avota notikumā var būt tieši tas, ko prasa privātuma politika, un tās uztveršana kā parsēšanas kļūda noved pie pieprasījuma, kas vājina kontroli.
Precīzais attēlojums ir atkarīgs no versijas un ziņojuma tipa. Viens notikums var saturēt vietturi, cits var pilnībā izlaist lauku, un autentifikācijas kļūda var nekad neietvert vārdu. Pārbaudiet dokumentēto uzvedību konkrētajam notikumam, nevis piemērojiet vecu kļūdas ziņojumu katrai trūkstošajai identitātei.
Kad maskēšana ir tīša, jautājums mainās no tā, kā atjaunot lauku, uz to, vai audita prasību var izpildīt citādi. Sesijas identifikatori, mazākas grupas pārvaldīta identitāšu kartēšana vai šaurāka atļauta notikumu plūsma bieži apmierina vajadzību, neparādot katru mēģināto lietotājvārdu katram žurnālu lasītājam.
Anonimizāciju pirms indeksēšanas nevar atsaukt
Splunk dokumentācija par notikumu apstrādi apraksta anonimizāciju ar sed izteiksmēm un transformācijām, kas pārraksta vai noņem datus pirms indeksēšanas. Tieši šī vieta ir būtiskā: neapstrādātais notikums tiek mainīts ieejot, tāpēc izguvei meklēšanas laikā vairs nav ko atrast.
Rediģēšana indeksēšanas laikā un lauku izguve meklēšanas laikā risina dažādas problēmas. Rediģēšana ierobežo, kas vispār var redzēt vērtību; izguve tikai izlemj, kuru vārdu izmanto vaicājums. Jaukšana ir starpvariants, kas saglabā korelāciju, bet stabila jaucējvērtība mazā lietotājvārdu telpā joprojām identificē, kad kāds var pret to pārbaudīt kandidātvārdus.
Ja saglabātais notikums joprojām satur identitāti, problēma ir tālāk: avota tips, rindu sadalīšana, atdalītāju apstrāde, lauku aizstājvārdi vai pats vaicājums. Tie ir parasti parsēšanas labojumi, un tie neskar privātuma robežu.
Izvēlieties labojumu, kas atbilst robežai
Atbildi nosaka trīs nosacījumi. Pirmkārt, vai privātuma politika paredz izslēgt identitāti? Otrkārt, vai audita vai izmeklēšanas procesam ir vajadzīga identitāte, pseidonīms vai tikai sesija? Treškārt, pie kuras robežas vērtība ir vajadzīga — vākšana, glabāšana vai attēlošana?
Ja politika paredz izslēgšanu, mainiet prasību vai attēlojumu, nevis kontroli. Ja politika atļauj identitāti, bet vākšana to pazaudē, salabojiet savācēju un apstipriniet neapstrādāto notikumu. Ja glabāšana ir nebojāta, salabojiet izguvi un pārbaudiet to pret sākumā fiksēto apstiprināto notikumu.
Pabeidziet izmeklēšanu, izmaiņu reģistrā nosaucot robežu: maskēta avotā, noņemta ievades laikā vai izguves palaista garām. Šis viens teikums pasaka nākamajam inženierim, kur vispirms skatīties, un tas neļauj sūdzībai par paneli pārvērsties klusi izslēgtā privātuma funkcijā.