Fejn jisparixxi isem tal-utent VPN mill-pipeline tal-logs?

Is-sessjonijiet jidhru fuq il-bord waqt li l-kolonna tal-isem tal-utent tibqa’ vojta, u l-ewwel xewqa hija li nwaħħlu lill-parser. Dik ix-xewqa taqbeż tliet stadji preċedenti fejn il-valur seta’ ntrema. Gateway jista’ jaħbi identità skont il-politika, regola tad-dħul tista’ tħassarha qabel l-indiċjar, u estrazzjoni waqt it-tiftix tista’ sempliċement tonqos milli ssemmiha. It-tiswija tiddependi minn liema konfini tista’ tipprova li hija responsabbli, għalhekk ix-xogħol utli huwa tqabbil u mhux konfigurazzjoni.

Ibda minn avveniment wieħed, mhux mill-bord

Agħżel avveniment wieħed ta’ awtentikazzjoni u ikteb x’jidentifikah: il-mudell u l-verżjoni tal-gateway, il-metodu ta’ awtentikazzjoni, l-identifikatur tal-avveniment, it-timbru tal-ħin u l-indirizz tas-sors. Żid l-isem tal-utent eżatt kif ittajpah il-persuna, inkluż ittri kbar u żgħar, għax tiftix li jqis ittri kbar u żgħar jista’ jaħbi qasam li jeżisti. Ittratta dak l-avveniment bħala referenza għal kull tqabbil aktar tard.

It-tipi ta’ avvenimenti ma jaqsmu l-istess skema. Tentattiv fallut, login bla klijent li rnexxa u rikonnessjoni tat-tunnel jistgħu kull wieħed jipproduċi qasam differenti, u xi gateways iħallu l-identità barra meta t-tentattiv qatt ma wasal għall-awtentikazzjoni tal-utent. Għalhekk kolonna vojta fuq tip wieħed ta’ avveniment hija prova dgħajfa ta’ problema fil-pipeline.

Aħdem b’identità tat-test approvata minflok kont reali tal-impjegat, u żomm it-tqabbil fil-regoli tal-aċċess li diġà jirregolaw id-dejta tal-logs. L-attivazzjoni wiesgħa ta’ reġistrazzjoni dettaljata tal-awtentikazzjoni biss biex tikseb kampjun tbiddel is-sistema li qed tipprova tkejjel.

Qabbel l-erba’ konfini fl-ordni

Il-valur jista’ jisparixxi f’wieħed minn erba’ punti. Kull punt għandu sid differenti u tiswija differenti.

Ieqaf fl-ewwel konfini fejn il-valur jisparixxi. Nuqqas ta’ qbil bejn il-veduta tal-apparat u l-kopja mhux ipproċessata jindika trasport jew konfigurazzjoni tal-kollettur; qbil hemmhekk imma valur nieqes fl-avveniment indiċjat jindika trasformazzjoni; valur li jinsab fl-avveniment indiċjat imma nieqes mill-bord jindika estrazzjoni jew il-mistoqsija.

Dan l-ordni huwa importanti għax kull stadju aktar tard jista’ biss jitlef informazzjoni, qatt ma jerġa’ jġibha. Espressjoni regolari ma tistax tirrikupera stringa li stadju preċedenti biddel b’postholder, u setting tal-privatezza ma jistax jispjega valur li qatt ma ntbagħat.

Il-ħabi fis-sors hija politika, mhux bug tal-parser

Id-dokumentazzjoni tar-reġistrazzjoni ASA ta’ Cisco tiddeskrivi l-ħabi tal-isem tal-utent bħala imġiba konfigurabbli, inkluż kif jintwerew ismijiet tal-utent mhux validi jew mhux magħrufa. Identità moħbija fl-avveniment tas-sors tista’ għalhekk tkun eżattament dak li titlob il-politika tal-privatezza, u li tittratta bħala falliment tal-parsing iwassal għal talba li ddgħajjef il-kontroll.

Ir-rappreżentazzjoni eżatta tiddependi mill-verżjoni u mit-tip tal-messaġġ. Avveniment wieħed jista’ jġorr postholder, ieħor jista’ jħalli l-qasam barra għal kollox, u falliment tal-awtentikazzjoni jista’ qatt ma jinkludi isem. Ivverifika l-imġiba dokumentata għall-avveniment speċifiku minflok ma tapplika rapport tal-bug antik għal kull identità nieqsa.

Meta l-ħabi jkun intenzjonat, il-mistoqsija tinbidel minn kif wieħed jerġa’ jġib il-qasam għal jekk ir-rekwiżit tal-awditjar jistax jiġi sodisfatt b’mod ieħor. L-identifikaturi tas-sessjoni, immappjar tal-identità kkontrollat f’idejn grupp iżgħar, jew feed tal-avvenimenti awtorizzat idjaq spiss jissodisfaw il-ħtieġa mingħajr ma jqiegħdu kull isem tal-utent provat quddiem kull qarrej tal-logs.

L-anonimizzazzjoni qabel l-indiċjar ma tistax titreġġa’ lura

Id-dokumentazzjoni ta’ Splunk dwar l-ipproċessar tal-avvenimenti tiddeskrivi l-anonimizzazzjoni permezz ta’ espressjonijiet sed u trasformazzjonijiet li jerġgħu jiktbu jew ineħħu dejta qabel l-indiċjar. Dak il-post huwa l-punt: l-avveniment mhux ipproċessat jinbidel fid-dħul, għalhekk estrazzjoni waqt it-tiftix ma jkollha xejn x’issib.

It-tħassir waqt l-indiċjar u l-estrazzjoni tal-qasam waqt it-tiftix issolvu problemi differenti. It-tħassir jillimita min jista’ qatt jara l-valur; l-estrazzjoni tiddeċiedi biss liema isem tuża l-mistoqsija. L-hashing hija għażla tan-nofs li tippreserva l-korrelazzjoni, imma hash stabbli fuq spazju żgħir ta’ ismijiet tal-utent xorta jidentifika meta xi ħadd jista’ jittestja ismijiet kandidati kontrih.

Jekk l-avveniment maħżun għadu jinkludi l-identità, il-problema hija aktar ’l isfel: tip tas-sors, qsim tal-linji, immaniġġjar tad-delimitaturi, alias tal-qasam jew il-mistoqsija stess. Dawk huma tiswijiet ordinarji tal-parsing u ma jmissux il-konfini tal-privatezza.

Agħżel it-tiswija li taqbel mal-konfini

Tliet kundizzjonijiet jiddeċiedu r-risposta. L-ewwel, il-politika tal-privatezza biħsiebha teskludi l-identità? It-tieni, il-proċess tal-awditjar jew tal-investigazzjoni għandu bżonn l-identità, psewdonimu jew biss is-sessjoni? It-tielet, f’liema konfini huwa meħtieġ il-valur — ġbir, ħażna jew preżentazzjoni?

Jekk il-politika biħsiebha teskludi, ibdel ir-rekwiżit jew il-preżentazzjoni, mhux il-kontroll. Jekk il-politika tippermetti l-identità imma l-ġbir iwarrabha, sewwi l-kollettur u kkonferma l-avveniment mhux ipproċessat. Jekk il-ħażna hija sħiħa, sewwi l-estrazzjoni u ttestjaha kontra l-avveniment approvat li qbadt fil-bidu.

Agħlaq l-investigazzjoni billi ssemmi l-konfini fir-rekord tal-bidla: moħbi fis-sors, imneħħi waqt id-dħul, jew mitluf mill-estrazzjoni. Dik is-sentenza waħda tgħid lill-inġinier li jmiss fejn għandu jħares l-ewwel, u żżomm ilment dwar il-bord milli jsir karatteristika tal-privatezza mitfija bil-kwiet.