Bolehkah Log VPN Menunjukkan Sejarah Pelayaran? Apa yang Dibuktikan oleh Bukti
Log sesi, pertanyaan penyelesai dan rekod aliran membuktikan perkara yang berbeza. Pilih soalan, gabungkan identiti dan masa, kemudian nyatakan hanya apa yang ditunjukkan.
Dua soalan audit kedengaran serupa dan memerlukan bukti yang berbeza. Sesi mana yang menghubungi alamat ini boleh dijawab daripada rekod sambungan dan aliran. Individu mana yang membuka halaman ini biasanya tidak, sekurang-kurangnya bukan daripada rekod tersebut. Memilih pengumpul sebelum memilih soalan ialah cara pasukan rangkaian akhirnya membentangkan nama hos sebagai sejarah pelayaran.
Mulakan dengan Peristiwa yang Harus Dibuktikan oleh Audit
Tulis soalan itu sebagai ayat dengan subjek, kata kerja dan masa. Disiplin itu sahaja sudah mendedahkan jurang antara rekod sesi dan paparan halaman. Log sesi membuktikan bahawa satu identiti diterima, untuk satu selang masa, dengan alamat yang diberikan di bawah dasar yang direkodkan, dan ia tidak dapat membuktikan halaman mana yang dibaca oleh sesiapa kerana ia tidak pernah melihat permintaan itu.
Label pemerhatian sebelum mereka bentuk pengumpulan. Medan yang dinamakan sempena tapak yang dilawati tetapi sebenarnya menyimpan nama yang telah diselesaikan ialah kesilapan masa depan, bukan kemudahan. Nama medan hidup lebih lama daripada orang yang memilihnya, jadi pilihlah yang menerangkan buktinya dan bukan kesimpulannya.
Apa yang Boleh dan Tidak Boleh Disokong oleh Setiap Rekod
Empat jenis rekod muncul dalam hampir setiap reka bentuk audit, dan setiap satu menjawab soalan yang berbeza. Asingkannya dalam laporan dan juga dalam saluran paip, kerana mencampurkannya ialah cara penemuan yang boleh dipertahankan menjadi memalukan.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Baca lajur terakhir sepertimana lajur tengah. Rekod aliran menerangkan alamat dan port, dan carian songsang sesuatu alamat tidak membina semula nama yang digunakan oleh pelayar, kerana satu alamat boleh menempatkan banyak tapak tidak berkaitan. Pertanyaan penyelesai membuktikan bahawa soalan telah diajukan, bukan bahawa halaman telah dipaparkan. Nama hos yang kelihatan semasa rundingan TLS juga bukan laluan permintaan yang disulitkan.
Setiap daripadanya ialah pemerhatian sebenar, dan tiada satu pun daripadanya ialah pemerhatian yang diandaikan orang. Pelayar yang berkeras dengan penyelesai sulitnya sendiri berada di luar skop yang dipantau, dan analisis tidak dapat memulihkan apa yang tidak pernah dilihat oleh pengelogan. Jurang itu perlu dinyatakan dalam laporan sebagai had, bukan nota kaki.
Carian Spekulatif dan Jawapan Cache
Pelayar menyelesaikan nama lebih awal, kadangkala tanpa memuatkan apa-apa. Ia juga menjawab daripada cache tanpa menghantar pertanyaan baharu kepada penyelesai yang anda pantau, bermakna ketiadaan pertanyaan bukanlah ketiadaan lawatan. Kedua-dua tingkah laku itu merosakkan persamaan naif antara log DNS dan sejarah pelayaran.
DNS over HTTPS menambah sempadan kedua: pelayar atau aplikasi tetamu dengan penyelesai sendiri tidak pernah bertanya apa-apa kepada pengelog organisasi. Transaksi yang tepat hanya datang daripada peristiwa aplikasi itu sendiri atau daripada proksi yang pengelogannya anda sokong secara jelas. Terowong HTTPS CONNECT biasa tidak memberikan proksi sebarang pandangan tentang laluan halaman di dalamnya. Memiliki rangkaian bukanlah kebenaran untuk menukar model kepercayaan aplikasi secara senyap.
Alamat Milik Sesi, Bukan Individu
Rekod aliran yang membawa alamat julat terowong ialah titik permulaan, bukan jawapan. Gabungkan alamat dan cap masa itu dengan penugasan sesi yang aktif pada masa itu, kerana alamat itu boleh diberikan kepada sesi lain sejam kemudian. Pengalamatan statik ialah satu cara untuk mengekalkan perkaitan itu, bukan satu-satunya cara.
Apabila langkah terjemahan meruntuhkan beberapa peranti menjadi satu alamat sumber di hulu penderia, penggabungan hanya boleh menamakan sesi gerbang kongsi. Akaun kongsi atau sijil yang digunakan oleh beberapa orang mengehadkan atribusi walau sepenuh mana pun data rangkaian kelihatan. Kedua-duanya perlu ada dalam laporan sebagai had, bukan sebagai amaran kemudian.
Rekod zon masa, sumber jam, titik pemerhatian dan setiap sempadan terjemahan di antaranya. Ketiadaan memerlukan penjagaan yang sama seperti kehadiran, kerana rekod yang hilang boleh bermakna entri aliran telah luput, penderia tidak pernah melihat paket itu, atau log aplikasi telah dimatikan.
Reka untuk Tujuan yang Dinyatakan, Kemudian Buktikan Saluran Paip
Sebaik soalan ditetapkan, tentukan medan mana yang diperlukan, siapa yang boleh membacanya, dan berapa lama ia disimpan. Mengumpul lebih banyak kerana storan murah mencipta liabiliti yang hidup lebih lama daripada siasatan. Model privasi dalam RFC 6973 merangka korelasi, salah atribusi dan pengumpulan yang tidak perlu sebagai masalah reka bentuk, bukan fikiran kemudian.
Lindungi pemetaan dan rekod sebagai satu objek, kerana masing-masing sendirian jauh kurang sensitif daripada pasangan itu. Kemudian sahkan reka bentuk terhadap aktiviti yang anda dibenarkan jana dan sudah faham, menggunakan pertanyaan terkecil yang akan dijadikan asas laporan. Saluran paip yang tidak dapat menghasilkan semula peristiwa yang diketahui juga tidak akan menghasilkan semula peristiwa yang tidak diketahui. Laporkan peristiwa yang disokong oleh bukti, dalam perkataan yang dibenarkan oleh bukti itu, dan biarkan pembaca mencapai kesimpulan yang lebih besar tanpa bantuan.
Tulis had di sebelah penemuan: apa yang digabungkan, apa yang diterjemahkan, dan log mana yang kekal senyap. Penemuan yang menyatakan sempadannya sendiri bertahan dalam semakan yang tidak dapat ditahan oleh ringkasan yang yakin. Itulah perbezaan antara bukti dan cerita tentang bukti.