VPN-ийн хэрэглэгчийн нэр логоны шугамаас хаана алга болдог вэ?
Логоны нууцлалын хяналтыг өөрчлөхөөс өмнө гарцын үйл явдал, цуглуулагчийн түүхий хуулбар, индексжсэн үйл явдал болон хайлтын үеийн талбарыг харьцуулна уу.
Сессүүд хяналтын самбарт харагддаг ч хэрэглэгчийн нэрийн багана хоосон хэвээр үлддэг бөгөөд эхний тэмүүлэл нь задлагчийг буруутгах юм. Энэ тэмүүлэл утга алдагдаж болох гурван өмнөх үе шатыг алгасдаг. Гарц нь бодлогоор таних тэмдгийг далдлаж болно, хүлээн авах дүрэм индексжүүлэхээс өмнө устгаж болно, хайлтын үеийн олборлолт зүгээр л нэрийг өгч чадахгүй байж болно. Залруулга нь аль хил хязгаарыг хариуцлагатай гэдгийг нотлох чадвараас хамаарна, тиймээс ашигтай ажил нь тохиргоо биш харьцуулалт юм.
Самбараас биш, нэг үйл явдлаас эхэл
Нэг баталгаажуулалтын үйл явдлыг сонгоод түүнийг юу тодорхойлдогийг бич: гарцын загвар ба хувилбар, баталгаажуулалтын арга, үйл явдлын таних тэмдэг, цагийн тэмдэг болон эх хаяг. Хэрэглэгчийн нэрийг хүн бичсэнтэй яг ижилхэн, том жижиг үсгийг оруулан нэм, учир нь үсгийн хэмжээг мэдрэх хайлт байгаа талбарыг нууж болно. Тэр үйл явдлыг дараагийн бүх харьцуулалтын жишиг гэж үз.
Үйл явдлын төрлүүд нэг схем хуваалцдаггүй. Амжилтгүй оролдлого, клиентгүй амжилттай нэвтрэлт, туннелийн дахин холболт тус бүр өөр талбар үүсгэж болох бөгөөд зарим гарцууд оролдлого хэрэглэгчийн баталгаажуулалтад хүрээгүй үед таних тэмдгийг орхидог. Тиймээс нэг төрлийн үйл явдалд хоосон багана байх нь шугамын асуудлын сул нотолгоо юм.
Бодит ажилтны бүртгэлийн оронд зөвшөөрөгдсөн туршилтын таних тэмдэгтэй ажиллаж, харьцуулалтыг логоны өгөгдлийг аль хэдийн зохицуулж буй хандалтын дүрмийн дотор байлга. Зөвхөн дээж авахын тулд дэлгэрэнгүй баталгаажуулалтын логийг өргөн хэмжээгээр асаах нь хэмжихийг оролдож буй системийг өөрчилдөг.
Дөрвөн хилийг дарааллаар нь харьцуул
Утга дөрвөн цэгийн аль нэгэнд алга болж болно. Цэг бүр өөр эзэн, өөр засвартай.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Утга алга болох эхний хил дээр зогс. Төхөөрөмжийн харагдац болон түүхий хуулбарын зөрүү нь тээвэрлэлт эсвэл цуглуулагчийн тохиргоог заана; тэнд таарч байгаа ч индексжсэн үйл явдалд утга байхгүй нь хувиргалтыг заана; индексжсэн үйл явдалд утга байгаа ч самбарт байхгүй нь олборлолт эсвэл асуулгаыг заана.
Энэ дараалал чухал, учир нь дараагийн үе шат бүр зөвхөн мэдээлэл алдаж чадна, хэзээ ч сэргээж чадахгүй. Тогтмол илэрхийлэл нь өмнөх үе шат орлуулагчаар сольсон мөрийг буцааж авч чадахгүй, нууцлалын тохиргоо хэзээ ч илгээгээгүй утгыг тайлбарлаж чадахгүй.
Эх сурвалж дээр далдлах нь бодлого, задлагчийн алдаа биш
Cisco-гийн ASA лог бүртгэлийн баримт бичиг хэрэглэгчийн нэрийг нуухыг тохируулж болох зан төлөв гэж тайлбарладаг бөгөөд хүчингүй эсвэл үл мэдэгдэх хэрэглэгчийн нэрсийг хэрхэн дүрсэлдэг ч багтана. Тиймээс эх үйл явдал дахь далдлагдсан таних тэмдэг нь нууцлалын бодлогын шаарддаг яг тэр зүйл байж болох бөгөөд түүнийг задлан шинжилгээний алдаа гэж үзэх нь хяналтыг сулруулах хүсэлтэд хүргэдэг.
Яг дүрслэл нь хувилбар болон мессежийн төрлөөс хамаарна. Нэг үйл явдал орлуулагч агуулж болно, нөгөө нь талбарыг бүрмөсөн орхиж болно, баталгаажуулалтын алдаа хэзээ ч нэр агуулахгүй байж болно. Алга болсон таних тэмдэг бүрт хуучин алдааны тайланг хэрэглэхийн оронд тухайн үйл явдлын баримтжуулсан зан төлөвийг шалга.
Далдлал санаатай үед асуулт талбарыг хэрхэн сэргээхээс аудитын шаардлагыг өөр аргаар хангаж болох эсэх рүү шилждэг. Сессийн таних тэмдэг, бага бүлгийн эзэмшдэг хяналттай таних тэмдгийн зураглал эсвэл илүү нарийн зөвшөөрөгдсөн үйл явдлын урсгал нь оролдсон хэрэглэгчийн нэр бүрийг лог уншигч бүрийн өмнө тавихгүйгээр хэрэгцээг хангадаг.
Индексжүүлэхээс өмнөх нэргүйжүүлэлтийг буцаах боломжгүй
Splunk-ийн үйл явдал боловсруулалтын баримт бичиг нь индексжүүлэхээс өмнө өгөгдлийг дахин бичих эсвэл устгах sed илэрхийлэл болон хувиргалтаар нэргүйжүүлэлтийг тайлбарладаг. Яг тэр байрлал нь гол зүйл: түүхий үйл явдал орох замд өөрчлөгддөг тул хайлтын үеийн олборлолтод олох зүйл үлдэхгүй.
Индексжүүлэх үеийн засварлалт болон хайлтын үеийн талбар олборлолт нь өөр асуудлыг шийддэг. Засварлалт нь утгыг хэн харж болохыг хязгаарлана; олборлолт нь асуулга ямар нэрийг ашиглахыг л шийднэ. Хэшлэх нь хамаарлыг хадгалдаг дунд сонголт бөгөөд жижиг хэрэглэгчийн нэрийн огторгуй дээрх тогтвортой хэш нь хэн нэгэн түүн дээр боломжит нэрсийг шалгаж чадвал таних хэвээр байна.
Хадгалсан үйл явдал таних тэмдгийг агуулж байгаа бол асуудал доогуур байна: эх төрөл, мөр таслалт, тусгаарлагч боловсруулалт, талбарын өөр нэр эсвэл асуулга өөрөө. Эдгээр нь энгийн задлан шинжилгээний засвар бөгөөд нууцлалын хил хязгаарт хүрэхгүй.
Хил хязгаарт тохирох засварыг сонго
Гурван нөхцөл хариу үйлдлийг тодорхойлно. Нэгд, нууцлалын бодлого таних тэмдгийг хасах санаархаж байна уу? Хоёрт, аудит эсвэл мөрдөн шалгах үйл явцад таних тэмдэг, өөр нэр эсвэл зөвхөн сесс хэрэгтэй юу? Гуравт, утга аль хил дээр хэрэгтэй вэ — цуглуулалт, хадгалалт эсвэл танилцуулга?
Бодлого хасах санаархвал хяналтыг биш, шаардлага эсвэл танилцуулгыг өөрчил. Бодлого таних тэмдгийг зөвшөөрдөг ч цуглуулалт түүнийг унагаж байвал цуглуулагчийг засаж, түүхий үйл явдлыг баталгаажуул. Хадгалалт бүрэн бүтэн бол олборлолтыг засаж, эхэнд бүртгэсэн зөвшөөрөгдсөн үйл явдлын эсрэг туршиж үз.
Мөрдөн шалгалтыг өөрчлөлтийн бүртгэлд хил хязгаарыг нэрлэж хаа: эх сурвалжид далдлагдсан, хүлээн авах үед устгагдсан эсвэл олборлолтоос алга болсон. Тэр нэг өгүүлбэр дараагийн инженерт хамгийн түрүүнд хаана харахыг хэлж, самбарын гомдол чимээгүйгээр унтраасан нууцлалын боломж болон хувирахаас сэргийлнэ.