VPN ഉപയോക്തൃനാമം ലോഗ് പൈപ്പ്‌ലൈനിൽ നിന്ന് എവിടെ അപ്രത്യക്ഷമാകുന്നു?
ലോഗിന്റെ സ്വകാര്യതാ നിയന്ത്രണം മാറ്റുന്നതിന് മുമ്പ് ഗേറ്റ്‌വേ ഇവന്റ്, ശേഖരണക്കാരന്റെ അസംസ്കൃത പകർപ്പ്, സൂചികയിലാക്കിയ ഇവന്റ്, തിരച്ചിലിന്റെ സമയത്തെ ഫീൽഡ് എന്നിവ താരതമ്യം ചെയ്യുക.
സെഷനുകൾ ഡാഷ്ബോർഡിൽ പ്രത്യക്ഷപ്പെടുന്നു, എന്നാൽ ഉപയോക്തൃനാമ കോളം ശൂന്യമായി തുടരുന്നു, ആദ്യ പ്രവണത പാഴ്സറിനെ കുറ്റപ്പെടുത്തുകയാണ്. ആ പ്രവണത മൂല്യം നഷ്ടപ്പെട്ടേക്കാവുന്ന മൂന്ന് മുൻ ഘട്ടങ്ങളെ ഒഴിവാക്കുന്നു. ഗേറ്റ്‌വേയ്ക്ക് നയപ്രകാരം ഐഡന്റിറ്റി മറയ്ക്കാം, ഇൻജെഷൻ നിയമത്തിന് സൂചികയാക്കുന്നതിന് മുമ്പ് അത് ഇല്ലാതാക്കാം, തിരച്ചിലിന്റെ സമയത്തെ എക്സ്ട്രാക്ഷന് അതിന് പേരിടാൻ കഴിയാതെ പോകാം. തിരുത്ത് ഏത് അതിർത്തിയാണ് ഉത്തരവാദിയെന്ന് തെളിയിക്കാനാകുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു, അതിനാൽ ഉപയോഗപ്രദമായ ജോലി കോൺഫിഗറേഷനല്ല, താരതമ്യമാണ്.
ഡാഷ്ബോർഡിൽ നിന്നല്ല, ഒരു ഇവന്റിൽ നിന്ന് തുടങ്ങുക
ഒരു ഓതന്റിക്കേഷൻ ഇവന്റ് തിരഞ്ഞെടുത്ത് അതിനെ തിരിച്ചറിയുന്നത് എന്തെന്ന് എഴുതുക: ഗേറ്റ്‌വേ മോഡലും പതിപ്പും, ഓതന്റിക്കേഷൻ രീതി, ഇവന്റ് ഐഡന്റിഫയർ, സമയമുദ്ര, ഉറവിട വിലാസം. വ്യക്തി ടൈപ്പ് ചെയ്ത അതേ രീതിയിൽ ഉപയോക്തൃനാമം ചേർക്കുക, വലിയക്ഷരങ്ങളും ചെറിയക്ഷരങ്ങളും ഉൾപ്പെടെ, കാരണം അക്ഷരകേസിനോട് സംവേദിയായ തിരച്ചിൽ നിലവിലുള്ള ഒരു ഫീൽഡ് മറയ്ക്കാം. ആ ഇവന്റിനെ തുടർന്നുള്ള എല്ലാ താരതമ്യത്തിനും അടിസ്ഥാനമായി കണക്കാക്കുക.
ഇവന്റ് തരങ്ങൾ ഒരേ സ്കീമ പങ്കിടുന്നില്ല. പരാജയപ്പെട്ട ശ്രമം, ക്ലയന്റില്ലാത്ത വിജയകരമായ ലോഗിൻ, ടണൽ വീണ്ടും ബന്ധിപ്പിക്കൽ എന്നിവ ഓരോന്നും വ്യത്യസ്ത ഫീൽഡുകൾ ഉണ്ടാക്കാം, ശ്രമം ഉപയോക്തൃ ഓതന്റിക്കേഷനിൽ എത്തിയിട്ടില്ലെങ്കിൽ ചില ഗേറ്റ്‌വേകൾ ഐഡന്റിറ്റി ഒഴിവാക്കുന്നു. അതിനാൽ ഒരു ഇവന്റ് തരത്തിൽ ശൂന്യമായ കോളം പൈപ്പ്‌ലൈൻ പ്രശ്നത്തിന്റെ ദുർബലമായ തെളിവാണ്.
യഥാർത്ഥ ജീവനക്കാരന്റെ അക്കൗണ്ടിന് പകരം അംഗീകൃത പരീക്ഷണ ഐഡന്റിറ്റിയുമായി പ്രവർത്തിക്കുക, താരതമ്യം ലോഗ് ഡാറ്റയെ ഇതിനകം നിയന്ത്രിക്കുന്ന ആക്സസ് നിയമങ്ങൾക്കുള്ളിൽ നിർത്തുക. ഒരു സാമ്പിൾ ലഭിക്കാൻ മാത്രം വിശദമായ ഓതന്റിക്കേഷൻ ലോഗിംഗ് വ്യാപകമായി സജീവമാക്കുന്നത് നിങ്ങൾ അളക്കാൻ ശ്രമിക്കുന്ന സംവിധാനത്തെ തന്നെ മാറ്റുന്നു.
നാല് അതിർത്തികൾ ക്രമത്തിൽ താരതമ്യം ചെയ്യുക
മൂല്യം നാല് പോയിന്റുകളിൽ ഒന്നിൽ അപ്രത്യക്ഷമാകാം. ഓരോ പോയിന്റിനും വ്യത്യസ്ത ഉടമയും വ്യത്യസ്ത തിരുത്തും ഉണ്ട്.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
മൂല്യം അപ്രത്യക്ഷമാകുന്ന ആദ്യ അതിർത്തിയിൽ നിർത്തുക. ഉപകരണ കാഴ്ചയും അസംസ്കൃത പകർപ്പും തമ്മിലുള്ള പൊരുത്തക്കേട് ഗതാഗതത്തെയോ ശേഖരണക്കാരന്റെ കോൺഫിഗറേഷനെയോ സൂചിപ്പിക്കുന്നു; അവിടെ പൊരുത്തമുണ്ടെങ്കിലും സൂചികയിലാക്കിയ ഇവന്റിൽ മൂല്യം ഇല്ലാതിരിക്കുന്നത് ഒരു പരിവർത്തനത്തെ സൂചിപ്പിക്കുന്നു; സൂചികയിലാക്കിയ ഇവന്റിൽ മൂല്യമുണ്ടെങ്കിലും ഡാഷ്ബോർഡിൽ ഇല്ലാതിരിക്കുന്നത് എക്സ്ട്രാക്ഷനെയോ ക്വറിയെയോ സൂചിപ്പിക്കുന്നു.
ഈ ക്രമം പ്രധാനമാണ്, കാരണം തുടർന്നുള്ള ഓരോ ഘട്ടത്തിനും വിവരം നഷ്ടപ്പെടുത്താൻ മാത്രമേ കഴിയൂ, ഒരിക്കലും അത് പുനഃസ്ഥാപിക്കാനാകില്ല. മുൻ ഘട്ടം ഒരു പ്ലേസ്ഹോൾഡർ ഉപയോഗിച്ച് മാറ്റിയ സ്ട്രിംഗ് ഒരു റെഗുലർ എക്സ്പ്രഷന് തിരികെ കൊണ്ടുവരാനാകില്ല, ഒരിക്കലും അയച്ചിട്ടില്ലാത്ത ഒരു മൂല്യം സ്വകാര്യതാ ക്രമീകരണത്തിന് വിശദീകരിക്കാനും കഴിയില്ല.
ഉറവിടത്തിലെ മറവ് നയമാണ്, പാഴ്സർ ബഗ്ഗല്ല
Cisco യുടെ ASA ലോഗിംഗ് ഡോക്യുമെന്റേഷൻ ഉപയോക്തൃനാമം മറയ്ക്കുന്നതിനെ കോൺഫിഗർ ചെയ്യാവുന്ന സ്വഭാവമായി വിവരിക്കുന്നു, അസാധുവായതോ അജ്ഞാതമായതോ ആയ ഉപയോക്തൃനാമങ്ങൾ എങ്ങനെ പ്രതിനിധീകരിക്കുന്നു എന്നതും ഉൾപ്പെടെ. അതിനാൽ ഉറവിട ഇവന്റിലെ മറച്ച ഐഡന്റിറ്റി സ്വകാര്യതാ നയം ആവശ്യപ്പെടുന്നത് തന്നെയായിരിക്കാം, അതിനെ പാഴ്സിംഗ് പരാജയമായി കാണുന്നത് നിയന്ത്രണം ദുർബലമാക്കുന്ന ഒരു അഭ്യർത്ഥനയിലേക്ക് നയിക്കുന്നു.
കൃത്യമായ പ്രാതിനിധ്യം പതിപ്പിനെയും സന്ദേശ തരത്തെയും ആശ്രയിച്ചിരിക്കുന്നു. ഒരു ഇവന്റിൽ പ്ലേസ്ഹോൾഡർ ഉണ്ടാകാം, മറ്റൊന്ന് ഫീൽഡ് പൂർണ്ണമായി ഒഴിവാക്കാം, ഓതന്റിക്കേഷൻ പരാജയത്തിൽ ഒരിക്കലും പേര് ഉണ്ടായിരിക്കണമെന്നില്ല. ഓരോ കാണാത്ത ഐഡന്റിറ്റിക്കും പഴയ ബഗ് റിപ്പോർട്ട് പ്രയോഗിക്കുന്നതിന് പകരം നിർദ്ദിഷ്ട ഇവന്റിനുള്ള രേഖപ്പെടുത്തിയ സ്വഭാവം പരിശോധിക്കുക.
മറവ് ഉദ്ദേശ്യപൂർവമാകുമ്പോൾ, ചോദ്യം ഫീൽഡ് എങ്ങനെ പുനഃസ്ഥാപിക്കാം എന്നതിൽ നിന്ന് ഓഡിറ്റ് ആവശ്യകത മറ്റൊരു വിധത്തിൽ നിറവേറ്റാനാകുമോ എന്നതിലേക്ക് മാറുന്നു. സെഷൻ ഐഡന്റിഫയറുകൾ, ചെറിയ ഗ്രൂപ്പിന്റെ കൈവശമുള്ള നിയന്ത്രിത ഐഡന്റിറ്റി മാപ്പിംഗ്, അല്ലെങ്കിൽ കൂടുതൽ ഇടുങ്ങിയ അംഗീകൃത ഇവന്റ് ഫീഡ് എന്നിവ ഓരോ ശ്രമിച്ച ഉപയോക്തൃനാമവും ഓരോ ലോഗ് വായനക്കാരന്റെയും മുന്നിൽ വയ്ക്കാതെ ആവശ്യകത നിറവേറ്റുന്നു.
സൂചികയാക്കുന്നതിന് മുമ്പുള്ള അജ്ഞാതീകരണം പിൻവലിക്കാനാകില്ല
ഇവന്റ് പ്രോസസ്സിംഗിനെക്കുറിച്ചുള്ള Splunk ഡോക്യുമെന്റേഷൻ, സൂചികയാക്കുന്നതിന് മുമ്പ് ഡാറ്റ പുനഃരചിക്കുന്ന അല്ലെങ്കിൽ നീക്കം ചെയ്യുന്ന sed എക്സ്പ്രഷനുകളിലൂടെയും പരിവർത്തനങ്ങളിലൂടെയും അജ്ഞാതീകരണം വിവരിക്കുന്നു. ആ സ്ഥാനം തന്നെയാണ് കാര്യം: അസംസ്കൃത ഇവന്റ് അകത്തേക്ക് വരുമ്പോൾ മാറുന്നു, അതിനാൽ തിരച്ചിലിന്റെ സമയത്തെ എക്സ്ട്രാക്ഷന് കണ്ടെത്താൻ ഒന്നും ശേഷിക്കുന്നില്ല.
സൂചികാ സമയത്തെ റിഡാക്ഷനും തിരച്ചിൽ സമയത്തെ ഫീൽഡ് എക്സ്ട്രാക്ഷനും വ്യത്യസ്ത പ്രശ്നങ്ങൾ പരിഹരിക്കുന്നു. റിഡാക്ഷൻ മൂല്യം ആരൊക്കെ കാണാം എന്ന് പരിമിതപ്പെടുത്തുന്നു; എക്സ്ട്രാക്ഷൻ ക്വറി ഏത് പേര് ഉപയോഗിക്കുന്നു എന്ന് മാത്രം തീരുമാനിക്കുന്നു. ഹാഷിംഗ് പരസ്പരബന്ധം നിലനിർത്തുന്ന ഇടത്തരം ഓപ്ഷനാണ്, എന്നാൽ ചെറിയ ഉപയോക്തൃനാമ ഇടത്തിൽ സ്ഥിരമായ ഒരു ഹാഷ്, ആരെങ്കിലും അതിനെതിരെ സാധ്യതയുള്ള പേരുകൾ പരിശോധിക്കാൻ കഴിയുമ്പോൾ ഇപ്പോഴും തിരിച്ചറിയുന്നു.
സംഭരിച്ച ഇവന്റിൽ ഇപ്പോഴും ഐഡന്റിറ്റി ഉണ്ടെങ്കിൽ, പ്രശ്നം താഴേക്കാണ്: ഉറവിട തരം, വരി വിഭജനം, വിഭജന ചിഹ്ന കൈകാര്യം, ഫീൽഡ് ഉപനാമങ്ങൾ അല്ലെങ്കിൽ ക്വറി തന്നെ. ഇവ സാധാരണ പാഴ്സിംഗ് തിരുത്തലുകളാണ്, സ്വകാര്യതാ അതിർത്തിയെ അവ സ്പർശിക്കുന്നില്ല.
അതിർത്തിയോട് യോജിക്കുന്ന തിരുത്ത് തിരഞ്ഞെടുക്കുക
മൂന്ന് വ്യവസ്ഥകൾ പ്രതികരണം നിർണ്ണയിക്കുന്നു. ഒന്നാമതായി, സ്വകാര്യതാ നയം ഐഡന്റിറ്റി ഒഴിവാക്കാൻ ഉദ്ദേശിക്കുന്നുണ്ടോ? രണ്ടാമതായി, ഓഡിറ്റോ അന്വേഷണമോ പ്രക്രിയയ്ക്ക് ഐഡന്റിറ്റി, ഒരു മറുപേര്, അതോ സെഷൻ മാത്രം വേണോ? മൂന്നാമതായി, ഏത് അതിർത്തിയിലാണ് മൂല്യം വേണ്ടത് — ശേഖരണം, സംഭരണം അതോ അവതരണം?
നയം ഒഴിവാക്കാൻ ഉദ്ദേശിക്കുന്നുവെങ്കിൽ, നിയന്ത്രണമല്ല, ആവശ്യകതയോ അവതരണമോ മാറ്റുക. നയം ഐഡന്റിറ്റി അനുവദിക്കുന്നു എന്നാൽ ശേഖരണം അത് ഉപേക്ഷിക്കുന്നുവെങ്കിൽ, ശേഖരണക്കാരനെ തിരുത്തി അസംസ്കൃത ഇവന്റ് സ്ഥിരീകരിക്കുക. സംഭരണം അക്ഷതമാണെങ്കിൽ, എക്സ്ട്രാക്ഷൻ തിരുത്തി തുടക്കത്തിൽ പകർത്തിയ അംഗീകൃത ഇവന്റിനെതിരെ അത് പരിശോധിക്കുക.
മാറ്റ രേഖയിൽ അതിർത്തി പേരിട്ട് അന്വേഷണം അവസാനിപ്പിക്കുക: ഉറവിടത്തിൽ മറച്ചത്, ഇൻജെഷനിൽ നീക്കം ചെയ്തത്, അല്ലെങ്കിൽ എക്സ്ട്രാക്ഷൻ വിട്ടുപോയത്. ആ ഒരു വാക്യം അടുത്ത എഞ്ചിനീയറോട് ആദ്യം എവിടെ നോക്കണമെന്ന് പറയുന്നു, ഡാഷ്ബോർഡ് പരാതി നിശബ്ദമായി നിർജ്ജീവമാക്കിയ സ്വകാര്യതാ സവിശേഷതയായി മാറുന്നതും അത് തടയുന്നു.