Di manakah nama pengguna VPN hilang daripada saluran log?

Sesi muncul pada papan pemuka manakala lajur nama pengguna kekal kosong, dan dorongan pertama ialah menyalahkan penghurai. Dorongan itu melangkau tiga peringkat lebih awal tempat nilai itu mungkin hilang. Get laluan boleh menyamarkan identiti mengikut dasar, peraturan penyambungan boleh memadamkannya sebelum pengindeksan, dan pengekstrakan semasa carian boleh gagal menamakannya. Pembaikan bergantung pada sempadan mana yang anda dapat buktikan bertanggungjawab, jadi kerja yang berguna ialah perbandingan, bukan konfigurasi.

Mulakan dengan satu peristiwa, bukan papan pemuka

Pilih satu peristiwa pengesahan dan catat apa yang mengenal pastinya: model dan keluaran get laluan, kaedah pengesahan, pengecam peristiwa, cap masa dan alamat sumber. Tambah nama pengguna tepat seperti yang ditaip oleh orang itu, termasuk huruf besar dan kecil, kerana carian yang sensitif huruf boleh menyembunyikan medan yang wujud. Anggap peristiwa itu sebagai rujukan bagi setiap perbandingan kemudian.

Jenis peristiwa tidak berkongsi skema yang sama. Percubaan gagal, log masuk tanpa klien yang berjaya dan penyambungan semula terowong masing-masing boleh menghasilkan medan berbeza, dan sesetengah get laluan meninggalkan identiti apabila percubaan itu tidak pernah sampai ke pengesahan pengguna. Oleh itu lajur kosong pada satu jenis peristiwa ialah bukti lemah masalah saluran.

Bekerja dengan identiti ujian yang diluluskan dan bukan akaun pekerja sebenar, dan kekalkan perbandingan dalam peraturan akses yang sudah mengawal data log. Mengaktifkan pengelogan pengesahan terperinci secara meluas hanya untuk mendapatkan sampel mengubah sistem yang cuba anda ukur.

Bandingkan empat sempadan mengikut urutan

Nilai itu boleh hilang pada salah satu daripada empat titik. Setiap titik mempunyai pemilik dan pembaikan yang berbeza.

Berhenti pada sempadan pertama tempat nilai itu hilang. Ketidakpadanan antara paparan peranti dan salinan mentah menunjukkan pengangkutan atau konfigurasi pengumpul; padanan di situ tetapi nilai tiada dalam peristiwa terindeks menunjukkan transformasi; nilai yang ada dalam peristiwa terindeks tetapi tiada pada papan pemuka menunjukkan pengekstrakan atau pertanyaan.

Urutan ini penting kerana setiap peringkat kemudian hanya boleh kehilangan maklumat, tidak pernah memulihkannya. Ungkapan nalar tidak boleh mendapatkan semula rentetan yang digantikan oleh peringkat lebih awal dengan pemegang tempat, dan tetapan privasi tidak boleh menjelaskan nilai yang tidak pernah dihantar.

Penyamaran pada sumber ialah dasar, bukan pepijat penghurai

Dokumentasi pengelogan ASA Cisco menerangkan penyembunyian nama pengguna sebagai tingkah laku yang boleh dikonfigurasi, termasuk cara nama pengguna tidak sah atau tidak dikenali diwakili. Identiti tersamar dalam peristiwa sumber boleh jadi tepat apa yang dikehendaki oleh dasar privasi, dan menganggapnya sebagai kegagalan penghuraian membawa kepada permintaan yang melemahkan kawalan itu.

Perwakilan tepat bergantung pada keluaran dan jenis mesej. Satu peristiwa mungkin membawa pemegang tempat, yang lain mungkin meninggalkan medan itu sepenuhnya, dan kegagalan pengesahan mungkin tidak pernah menyertakan nama. Semak tingkah laku berdokumen untuk peristiwa tertentu dan bukannya menggunakan laporan pepijat lama pada setiap identiti yang hilang.

Apabila penyamaran memang disengajakan, persoalannya berubah daripada cara memulihkan medan kepada sama ada keperluan audit boleh dipenuhi dengan cara lain. Pengecam sesi, pemetaan identiti terkawal yang dipegang kumpulan lebih kecil, atau suapan peristiwa dibenarkan yang lebih sempit selalunya memenuhi keperluan tanpa meletakkan setiap nama pengguna yang dicuba di hadapan setiap pembaca log.

Anonimisasi sebelum pengindeksan tidak boleh dibatalkan

Dokumentasi Splunk tentang pemprosesan peristiwa menerangkan anonimisasi melalui ungkapan sed dan transformasi yang menulis semula atau membuang data sebelum diindeks. Kedudukan itulah intinya: peristiwa mentah diubah semasa masuk, jadi pengekstrakan semasa carian tidak mempunyai apa-apa lagi untuk ditemui.

Penyuntingan semasa pengindeksan dan pengekstrakan medan semasa carian menyelesaikan masalah yang berbeza. Penyuntingan mengehadkan siapa yang boleh melihat nilai itu sama sekali; pengekstrakan hanya menentukan nama mana yang digunakan oleh pertanyaan. Hashing ialah pilihan pertengahan yang mengekalkan korelasi, tetapi cincangan stabil atas ruang nama pengguna yang kecil masih mengenal pasti apabila seseorang boleh menguji nama calon terhadapnya.

Jika peristiwa tersimpan masih mengandungi identiti, masalahnya di hiliran: jenis sumber, pemisahan baris, pengendalian pembatas, alias medan atau pertanyaan itu sendiri. Itu pembaikan penghuraian biasa dan ia tidak menyentuh sempadan privasi.

Pilih pembaikan yang sepadan dengan sempadan

Tiga syarat menentukan tindak balas. Pertama, adakah dasar privasi berniat mengecualikan identiti? Kedua, adakah proses audit atau siasatan memerlukan identiti, nama samaran atau hanya sesi? Ketiga, pada sempadan manakah nilai itu diperlukan — pengumpulan, penyimpanan atau pembentangan?

Jika dasar berniat mengecualikan, ubah keperluan atau pembentangan, bukan kawalan. Jika dasar membenarkan identiti tetapi pengumpulan menggugurkannya, baiki pengumpul dan sahkan peristiwa mentah. Jika penyimpanan utuh, baiki pengekstrakan dan ujinya terhadap peristiwa diluluskan yang anda tangkap pada permulaan.

Tutup siasatan dengan menamakan sempadan dalam rekod perubahan: disamarkan pada sumber, dibuang semasa penyambungan, atau terlepas oleh pengekstrakan. Satu ayat itu memberitahu jurutera seterusnya ke mana hendak melihat dahulu, dan ia menghalang aduan papan pemuka daripada bertukar menjadi ciri privasi yang dimatikan secara senyap.