Избор на HTTP докази: записи од портата или дневници од апликацијата

Следењето на веб започнува со цел, а не со точка на зафаќање. Броењето активни клиенти, мерењето време на API повик и читањето тела на пораки секое бара различни докази и различни одлуки за приватност. Портата што препраќа заштитен HTTPS гледа врски наместо содржина на страница. Изборот на погрешен слој дава податоци што изгледаат богати и не одговараат на ништо.

Именувајте го прашањето пред изворот на податоци

Започнете со оперативната одлука што податоците треба да ја поддржат. Прашањата за достапност бараат броења и времиња, прашањата за барања бараат патеки и статусни кодови, а прашањата за содржина бараат тела на пораки. Секој чекор навнатре додава чувствителност и инженерска сложеност. Нека сопственикот на услугата и сопственикот на безбедноста одобрат публика, цел и постапување пред да започне собирањето, зашто управувањето со тунелот сѐ уште не е таа одлука.

Напишете го прашањето во една реченица и држете го до планот за собирање. Тоа е единствената сигурна контрола на опфатот.

Што портата може и што не може да покаже

Порта што препраќа правилно заштитен HTTPS обично гледа адреси, порти и волумени, а не линии на барања или тела.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

Списокот conntrack покажува текови и преводи, а краткото фаќање покажува пакети без читлива апликациска содржина. Тоа е доволно да се одговори дали сообраќајот тече, колку и помеѓу кои крајни точки. Тоа не е список на URL, а обичен CONNECT прокси го препраќа шифрираниот обмен без да го заврши TLS на апликацијата. Кога некој ветува патеки на барања од таа позиција, прашајте кој компонент дешифрира и под чија доверба.

Дневниците на апликацијата одговараат на повеќето прашања за барања

За апликација која ја управувате, нејзиното сопствено поддржано евидентирање обично одговара на прашањето на ниво на барање без дешифрирање на врските на други.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Барањето за здравствена состојба ја мери достапноста од позиција на клиент, а дневникот за пристап ги запишува полињата што серверот веќе ги избрал да ги чува. Изберете ги полињата што му требаат на задачата и оставете го остатокот надвор, зашто дури и URL може да носи чувствителни параметри. Линијата во дневникот е доказ за таа услуга, а не за секоја друга услуга до која корисникот стигнал преку тунелот. Одржувањето на собирањето тесно ја одржува мала и прашањето за задржување, затоа поставете прозорец пократок од мисловниот експеримент што го создал барањето.

Пресекувањето е посебен дизајн на доверба

Ако прегледот на ниво на порака е навистина потребен, пресекувањето на TLS создава нова доверлива крајна точка и клиентски договор за доверба што мора да се распредели и одржува. Апликациите што ги закачуваат сертификатите ќе се скршат, а операторот сега држи приватни клучеви чија заштита е важна колку и секој серверски клуч. Да се направи собирањето да работи со слабеење на проверката на сертификати, или со закрпување на апликација што ги закачува своите сертификати, разменува безбедносна контрола за линија во дневник. Претпочитајте документиран дизајн на преглед чиешто распределување на доверба веќе се управува, и држете го приватниот клуч на органот надвор од сѐ што е споделено.

На крајот од прозорецот за собирање, отстранете ја конфигурацијата и нејзиниот материјал за доверба преку нивните сопственици, и отстранете ги задржаните докази според договорената политика. Доволно сигурни информации за наведената цел е критериумот за успех, а не најголемото можно зафаќање.