L-għażla ta’ provi HTTP: rekords tal-gateway jew logijiet tal-app

Il-monitoraġġ tal-web jibda bi skop, mhux bi punt ta’ qbid. L-għadd ta’ klijenti attivi, il-ħin ta’ sejħa API u l-qari tal-korpi tal-messaġġi kull wieħed jeħtieġ provi differenti u deċiżjonijiet ta’ privatezza differenti. Gateway li jgħaddi HTTPS protett jara konnessjonijiet mhux il-kontenut tal-paġna. L-għażla tal-livell ħażin tagħti data li tidher għanja u ma twieġeb xejn.

Semmi l-mistoqsija qabel is-sors tad-data

Ibda bid-deċiżjoni operattiva li d-data trid tappoġġja. Mistoqsijiet dwar id-disponibbiltà jeħtieġu għadd u ħinijiet, mistoqsijiet dwar it-talbiet jeħtieġu mogħdijiet u kodiċijiet tal-istat, u mistoqsijiet dwar il-kontenut jeħtieġu l-korpi tal-messaġġi. Kull pass ’il ġewwa jżid sensittività u kumplessità tal-inġinerija. Ħalli sid is-servizz u sid is-sigurtà japprovaw udjenza, skop u trattament qabel ma jibda l-ġbir, għax l-operat tat-tunnell mhuwiex dik id-deċiżjoni.

Ikteb il-mistoqsija f’sentenza waħda u żommha ħdejn il-pjan tal-ġbir. Hija l-unika kontroll affidabbli tal-ambitu.

X’jista’ juri l-gateway u x’ma jistax

Gateway li jgħaddi HTTPS protett kif imiss normalment jara indirizzi, portijiet u volumi, mhux linji tat-talba jew korpi.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

Il-lista conntrack turi flussi u traduzzjonijiet, u l-qbid qasir juri pakketti mingħajr kontenut tal-app li jinqara. Dan biżżejjed biex twieġeb jekk it-traffiku jgħaddix, kemm, u bejn liema punti finali. Mhix lista ta’ URL, u proxy CONNECT ordinarju jgħaddi l-iskambju kriptat mingħajr ma jtemm it-TLS tal-app. Meta xi ħadd iwiegħed mogħdijiet tat-talbiet minn dik il-pożizzjoni, staqsi liema komponent jiddekkripta u taħt min jitqiegħed il-fiduċja.

Il-logijiet tal-app iwieġbu ħafna mill-mistoqsijiet tat-talbiet

Għal app li tħaddem, il-logging sostnut tagħha nnifisha normalment iwieġeb il-mistoqsija fil-livell tat-talba mingħajr ma jiddekkripta l-konnessjonijiet ta’ ħaddieħor.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

It-talba tas-saħħa tkejjel id-disponibbiltà mill-pożizzjoni ta’ klijent, u l-log tal-aċċess jirrekordja l-oqsma li s-server diġà għażel li jżomm. Agħżel l-oqsma li l-kompitu jeħtieġ u ħalli l-bqija barra, għax saħansitra URL tista’ ġġorr parametri sensittivi. Linja tal-log hija prova dwar dak is-servizz, mhux dwar kull servizz ieħor li l-utent laħaq mit-tunnell. Iż-żamma tal-ġbir dejjaq iżżomm żgħira wkoll il-mistoqsija taż-żamma, għalhekk issettja tieqa iqsar mill-esperiment tal-ħsieb li pproduċa r-rekwiżit.

L-interċettazzjoni hija disinn tal-fiduċja separat

Jekk l-ispezzjoni fil-livell tal-messaġġ hija tassew meħtieġa, l-interċettazzjoni TLS toħloq punt finali affidabbli ġdid u arranġament tal-fiduċja tal-klijent li jrid jiġi mqassam u miżmum. Applikazzjonijiet li jwaħħlu ċ-ċertifikati se jinkisru, u l-operatur issa jżomm ċavetta privati li l-protezzjoni tagħhom timporta daqs kull ċavetta tas-server. Li l-ġbir jaħdem billi tiddgħajjef il-validazzjoni taċ-ċertifikati, jew billi t-tikklaw app li tħabbat iċ-ċertifikati tagħha, tiskambja kontroll tas-sigurtà għal linja tal-log. Ippreferi disinn tal-ispezzjoni dokumentat li t-tqassim tal-fiduċja tiegħu diġà huwa mmaniġġjat, u żomm iċ-ċavetta privata tal-awtorità barra minn kull ħaġa maqsuma.

Fl-aħħar tat-tieqa tal-ġbir, neħħi l-konfigurazzjoni u l-materjal tal-fiduċja tagħha permezz tas-sidien tagħhom, u rmi l-provi miżmuma skont il-politika miftiehma. Informazzjoni affidabbli biżżejjed għall-iskop imsemmi hija l-kriterju tas-suċċess, mhux l-akbar qbid possibbli.