Velje HTTP-prov: gateway-loggar eller applikasjonsloggar

Overvaking av nettet startar med eit føremål, ikkje med eit opptakspunkt. Å telje aktive klientar, måle eit API-kall og lese meldingskroppar krev kvar for seg ulike prov og ulike personvernval. Ein gateway som videresender verna HTTPS, ser tilkoblingar i staden for sideinnhald. Å velje feil lag gir data som ser rike ut og ikkje svarar på noko.

Namngje spørsmålet før datakjelda

Byrja med driftsavgjerda som dataa skal støtte. Tilgjengelegsspørsmål treng teljingar og tider, førespurnadsspørsmål treng stiar og statuskodar, og innhaldsspørsmål treng meldingskroppar. Kvart steg innover legg til kjenslevdheit og teknisk kompleksitet. Få tenesteeigaren og tryggleikseigaren til å godkjenne publikum, føremål og handtering før innsamlinga byrjar, fordi å drive tunnelen er ikkje den avgjerda.

Skriv spørsmålet i éin setning og hald det ved sida av innsamlingsplanen. Det er den einaste pålitelege omfangskontrollen.

Kva gatewayen kan og ikkje kan vise

Ein gateway som videresender rett verna HTTPS, ser vanlegvis adresser, portar og volum, ikkje førespurnadslinjer eller innhald.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

conntrack-lista viser straumar og omsetjingar, og det korte opptaket viser pakkar utan lesbart applikasjonsinnhald. Det er nok til å svare på om trafikken flyt, kor mykje, og mellom kva endepunkt. Det er ikkje ei liste over URL-ar, og ein vanleg CONNECT-proxy videresender den krypterte utvekslinga utan å avslutte applikasjonen sin TLS. Når nokon lovar førespurnadsstiar frå den posisjonen, spør kva komponent som dekrypterer og under kven si tillit.

Applikasjonsloggar svarar på dei fleste førespurnadsspørsmål

For ein applikasjon du driv, svarar den eiga støtta logginga vanlegvis på spørsmålet på førespurnadsnivå utan å dekryptere tilkoblingane til andre.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Helsesjekken måler tilgjenge frå posisjonen til ein klient, og tilgangsloggen registrerer felta serveren allereie valde å halde. Vel felta oppgåva treng og lat resten vere ute, fordi sjølv ein URL kan bere sensitive parameter. Ei loggline er prov om den tenesta, ikkje om kvar andre teneste brukaren nådde gjennom tunnelen. Smal innsamling held òg oppbevaringsspørsmålet lite, så set eit vindauge kortare enn tankeeksperimentet som skapte kravet.

Avlytting er eit eige tillitsdesign

Viss inspeksjon på meldingsnivå verkeleg er naudsynt, skaper TLS-avlytting eit nytt tiltruleg endepunkt og ei klienttillitsordning som må distribuerast og vedlikehaldast. Applikasjonar som festar sertifikat vil knekke, og operatøren held no private nøklar der vernet tel like mykje som kvar tenarnøkkel. Å få innsamlinga til å verke ved å svekkje sertifikatvalideringa, eller ved å lappe ein applikasjon som festar sertifikata sine, byter ein tryggleikskontroll mot ei loggline. Føretrekk eit dokumentert inspeksjonsdesign der tillitsfordelinga allereie er styrt, og hald den private nøkkelen til styresmakta utanfor alt som blir delt.

Ved slutten av innsamlingsvindauget fjernar du konfigurasjonen og tillitsmaterialet gjennom eigarane deira, og kastar lagra prov etter den avtalte policyen. Nok påliteleg informasjon for det oppgitte føremålet er suksesskriteriet, ikkje den største moglege opptaket.