Pengekalan log VPN: ikat ia pada insiden, bukan pada nombor
Pengekalan mengikut insiden, kandungan dan dasar, bukan tarikh akhir sejagat. Cari setiap salinan, hentikan pengumpulan terperinci dan simpan rekod pendek.
Tiada siapa sebenarnya bertanya berapa lama untuk menyimpan log VPN; mereka bertanya untuk apa log itu, dan jawapannya menetapkan tarikh. Dua fail boleh keluar daripada satu insiden dengan jangka hayat berbeza, dan memperlakukannya sebagai satu dasar menghasilkan pengekalan berlebihan dan kehilangan bukti sekali gus. Eksport nyahpepijat yang diambil ketika puncanya belum diketahui bukan artifak yang sama dengan satu baris dalam stor pemantauan. Mulakan dengan tujuan, kemudian pilih tarikh.
Jawab empat soalan sebelum memilih tarikh
Empat soalan menentukan sama ada fail kekal: adakah insiden masih terbuka, apa yang terkandung dalam fail, siapa yang perlu membacanya, dan apa yang dikehendaki oleh dasar yang terpakai. Jawab dalam susunan itu dan tarikh pengekalan akan muncul sendiri. Alasannya muat dalam jadual:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Selagi insiden terbuka, simpan satu salinan asal yang dilindungi supaya anda boleh membandingkan peristiwa atau menjawab soalan sokongan kemudian, dan berikannya pemilik serta tujuan secara bertulis. Bagi sesiapa di luar pasukan tindak balas, petikan pendek yang disunting biasanya memadai, dan ia jauh lebih mudah dipertahankan daripada eksport penuh. Salinan asal dan petikan ialah artifak berasingan dengan khalayak berasingan, dan menggabungkannya itulah yang mencipta pengekalan berlebihan dan kehilangan bukti. Dasar menetapkan had bawah, jadi jika ia menuntut lebih lama daripada alasan anda, dasar yang menang.
Tutup insiden dengan rekod, bukan dengan eksport
Tulis rekod empat baris dalam tiket: gejala, klien dan versi, satu baris ralat yang mengenal pastinya, dan pembetulan. Jangan lampirkan apa-apa lagi, kerana eksport itu untuk anda dan rekod itu untuk orang seterusnya.
Rekod juga lebih mungkin dibaca: eksport penuh kebanyakannya berguna kepada orang yang mengambilnya, dan orang itu sudah tahu apa yang berlaku. Simpan rekod di tempat insiden seterusnya akan dicari, yang biasanya bermaksud tiket dan bukan folder bernama tarikh. Nombor kes boleh membawa rujukan jika rekod perlu boleh dijejaki tanpa mendedahkan pengecam sambungan. Jika ada soalan yang masih terbuka, salinan asal kekal di bawah peraturan salinan dilindungi di atas; sebaik rekod wujud, semua yang lain boleh pergi.
Cari setiap salinan sebelum memadam satu
Lihat dalam folder eksport, kemudian dalam jurnal untuk tetingkap insiden, kemudian dalam lampiran tiket, kemudian dalam katalog sandaran, kemudian dalam stor pemantauan. Jika pengecam sambungan yang sama muncul di tempat kelima, inventori itu salah. Jurnal ialah kejutan biasa, kerana ia terus mengumpul semasa anda membaca eksport.
Gunakan laluan putaran dan pemadaman yang disokong dan bukan menyahpaut fail secara manual. Fail yang masih terbuka mengekalkan storannya selepas entri direktori hilang, jadi pemadaman kelihatan lengkap dan tidak membebaskan apa-apa. Itu pepijat storan yang memakai label privasi, dan ia tidak memenuhi mana-mana daripada dua matlamat itu.
Hentikan pengumpulan sebelum mengesahkan pemadaman
Hentikan pengumpulan terperinci sementara melalui aplikasi yang memilikinya, bukan dengan menyunting fail outputnya. Tetapan nyahpepijat yang terlupa terus menulis rekod baharu selepas yang lama dibuang, yang membatalkan kerja yang baru anda lakukan secara senyap. Semak tahap pengelogan sebenar dan bukan nilai yang anda ingat telah ditetapkan. Kemudian sahkan bahawa apa yang tinggal dilindungi dan hanya orang yang dimaksudkan boleh mengambilnya.
Prinsipnya ialah pengecilan data: simpan apa yang diperlukan oleh tujuan yang dinyatakan, selama ia diperlukan, dan tidak lebih, seperti yang panduan privasi RFC 6973 merumuskannya. Fail yang disimpan tanpa tujuan ialah liabiliti dengan cap masa. Keputusan selesai apabila anda boleh menamakan fail itu, tujuannya, pemiliknya dan tarikh tamatnya.