Tista' Log VPN Juri Storja tal-Ibrawżjar? X'Jipprova l-Evidenza
Log tas-sessjoni, mistoqsija tar-resolver u rekord tal-fluss jippruvaw affarijiet differenti. Agħżel il-mistoqsija, għaqqad l-identità u l-ħin, imbagħad iddikjara biss dak li ntwerie.
Żewġ mistoqsijiet tal-awdit jidhru simili u jeħtieġu evidenza ta' tipi differenti. Liema sessjoni kkuntattjat dan l-indirizz jista' jiġi mwieġeb mir-rekords tal-konnessjoni u tal-fluss. Liema persuna fetħet din il-paġna normalment le, għall-inqas mhux minn dawk ir-rekords. L-għażla ta' kollettur qabel ma tagħżel il-mistoqsija hija kif tim tan-netwerk jispiċċa jippreżenta isem host bħala storja tal-ibrawżjar.
Ibda mill-Avveniment li l-Awdit għandu Jistabbilixxi
Ikteb il-mistoqsija bħala sentenza b'suġġett, verb u ħin. Dik id-dixxiplina waħedha turi id-distakk bejn rekord tas-sessjoni u wirja tal-paġna. Log tas-sessjoni jistabbilixxi li identità ġiet aċċettata, għal intervall, b'indirizz assenjat taħt politika rreġistrata, u ma jistax jistabbilixxi liema paġna qara xi ħadd għax qatt ma ra t-talba.
Ittikketta l-osservazzjoni qabel ma tfassal il-ġbir. Qasam imsemmi għal sit miżjur li fil-fatt jaħżen isem solvut huwa żball futur, mhux komodità. L-ismijiet tal-qasam jgħixu aktar mill-persuni li għażluhom, għalhekk agħżel dawk li jiddeskrivu l-prova u mhux il-konklużjoni.
X'Jista' u X'Ma Jistax Jappoġġa Kull Rekord
Erba' tipi ta' rekord jidhru f'kważi kull disinn tal-awdit, u kull wieħed iwieġeb mistoqsija differenti. Żommhom separati fir-rapport kif ukoll fil-pipeline, għax it-taħlit tagħhom huwa kif sejba difendibbli ssir waħda tal-mistħija.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Aqra l-aħħar kolonna b'daqstant attenzjoni bħal dik tan-nofs. Rekord tal-fluss jiddeskrivi indirizzi u ports, u t-tiftix invers ta' indirizz ma jibnix mill-ġdid l-isem li uża l-browser, għax indirizz wieħed jista' jospita ħafna siti mhux relatati. Mistoqsija tar-resolver tipprova li saret domanda, mhux li paġna ġiet murija. Isem host li jidher waqt negozjar TLS mhuwiex ukoll il-perkors tat-talba kriptat.
Kull waħda minn dawn hija osservazzjoni vera, u l-ebda waħda mhija l-osservazzjoni li n-nies jassumu. Browser li jinsisti fuq resolver kriptat tiegħu stess jinsab barra mill-ambitu sorveljat, u l-analiżi ma tistax tirkupra dak li l-logging qatt ma ra. Dan id-distakk għandu jissemma fir-rapport bħala limitu, mhux bħala nota f'qiegħ il-paġna.
Tiftix Spekulativ u Tweġibiet mill-Cache
Il-browsers isolvu l-ismijiet bil-quddiem, xi drabi mingħajr ma jgħabbu xejn. Huma jwieġbu wkoll mill-cache mingħajr ma jibagħtu mistoqsija ġdida lir-resolver li qed tosserva, li jfisser li n-nuqqas ta' mistoqsija mhuwiex in-nuqqas ta' żjara. Iż-żewġ imġibiet ikissru l-ekwazzjoni sempliċi bejn log DNS u storja tal-ibrawżjar.
DNS over HTTPS iżid it-tieni fruntiera: browser jew applikazzjoni tal-mistieden b'resolver tiegħu qatt ma jistaqsi xejn lill-logger tal-organizzazzjoni. Tranżazzjonijiet eżatti jiġu biss mill-avvenimenti tal-applikazzjoni stess jew minn proxy li l-logging tiegħu tappoġġja b'mod espliċitu. Mina sempliċi HTTPS CONNECT ma tagħtix lill-proxy ebda veduta tal-perkorsi tal-paġni ġewwa fiha. Il-pussess tan-netwerk mhuwiex permess li tibdel il-mudell ta' fiduċja tal-applikazzjoni bil-kwiet.
L-Indirizz Jappartjeni lil Sessjoni, Mhux lil Persuna
Rekord tal-fluss li jġorr indirizz fil-firxa tal-mina huwa punt tat-tluq, mhux tweġiba. Għaqqad dak l-indirizz u t-timbru tal-ħin mal-assenjazzjoni tas-sessjoni attiva f'dak il-mument, għax dak l-indirizz jista' jerġa' jiġi assenjat lil sessjoni oħra siegħa wara. L-indirizzar statiku huwa mod kif tinżamm dik l-assoċjazzjoni, mhux l-uniku mod.
Fejn pass ta' traduzzjoni jgħaqqad diversi apparati f'indirizz sors wieħed 'il fuq mis-sensor, il-ġonta tista' biss issemmi s-sessjoni tal-gateway kondiviża. Kont kondiviż jew ċertifikat użat minn bosta persuni jillimita l-attribuzzjoni kemm jista' jkun komplut id-dejta tan-netwerk. It-tnejn jappartjenu fir-rapport bħala limiti, mhux bħala twissijiet għal aktar tard.
Irreġistra ż-żona tal-ħin, is-sors tal-arloġġ, il-punt tal-osservazzjoni u kull fruntiera ta' traduzzjoni bejniethom. In-nuqqas jistħoqqlu l-istess attenzjoni bħall-preżenza, għax rekord neqsin jista' jfisser li entrata tal-fluss skadiet, sensor li qatt ma ra l-pakkett jew log tal-applikazzjoni li ntefa'.
Iddisinja għall-Iskop Dikjarat, Imbagħad Ipprova l-Pipeline
Ladarba l-mistoqsija tiġi fissa, iddefinixxi liema oqsma huma meħtieġa, min jista' jaqrahom, u kemm jinżammu. Li tiġbor aktar għax il-ħażna hija rħisa joħloq responsabbiltà li tgħix aktar mill-investigazzjoni. Il-mudell tal-privatezza f'RFC 6973 iqis il-korrelazzjoni, l-attribuzzjoni ħażina u l-ġbir mhux meħtieġ bħala problemi tad-disinn, mhux bħala ħsieb ta' wara.
Ħares il-mappa u r-rekords bħala oġġett wieħed, għax kull wieħed waħdu huwa ħafna inqas sensittiv mill-par. Imbagħad ivvalida d-disinn kontra attività li hija permessa li tiġġenera u li diġà tifhem, bl-iżgħar mistoqsija li r-rapport se jiddependi fuqha. Pipeline li ma tistax tirriproduċi avveniment magħruf lanqas ma tirriproduċi avveniment mhux magħruf. Irrapporta l-avveniment li l-evidenza tappoġġja, bil-kliem li l-evidenza tippermetti, u ħalli lill-qarrej jasal għall-konklużjoni akbar mingħajr għajnuna.
Ikteb il-limiti ħdejn is-sejba: x'ġie mgħaqqad, x'ġie tradott, u liema log baqa' sieket. Sejba li tiddikjara l-konfini tagħha stess tgħaddi minn reviżjoni li sommarju kunfidenti ma jgħaddix minnha. Din hija d-differenza bejn evidenza u storja dwar evidenza.