Czy log VPN może pokazać historię przeglądania? Co dowodzą dowody
Log sesji, zapytanie resolvera i rekord przepływu dowodzą różnych rzeczy. Wybierz pytanie, połącz tożsamość i czas, a potem podaj tylko to, co wykazano.
Dwa pytania audytowe brzmią podobnie i wymagają dowodów różnego rodzaju. Na pytanie, która sesja połączyła się z tym adresem, można odpowiedzieć na podstawie rekordów połączeń i przepływów. Na pytanie, która osoba otworzyła tę stronę, zwykle nie można, przynajmniej nie na podstawie tych rekordów. Wybór kolektora przed wyborem pytania to sposób, w jaki zespół sieciowy kończy, prezentując nazwę hosta jako historię przeglądania.
Zacznij od zdarzenia, które audyt ma ustalić
Zapisz pytanie jako zdanie z podmiotem, czasownikiem i czasem. Sama ta dyscyplina ujawnia lukę między rekordem sesji a wyświetleniem strony. Log sesji ustala, że tożsamość została zaakceptowana, przez pewien przedział, z przydzielonym adresem w ramach zapisanej polityki, i nie może ustalić, którą stronę ktoś czytał, ponieważ nigdy nie widział żądania.
Nazwij obserwację, zanim zaprojektujesz zbieranie. Pole nazwane od odwiedzonej witryny, które w rzeczywistości przechowuje rozwiązaną nazwę, jest przyszłym błędem, a nie udogodnieniem. Nazwy pól żyją dłużej niż ludzie, którzy je wybrali, więc wybieraj takie, które opisują dowód, a nie wniosek.
Co każdy rekord może, a czego nie może potwierdzić
Cztery typy rekordów pojawiają się w niemal każdym projekcie audytu, a każdy odpowiada na inne pytanie. Trzymaj je osobno zarówno w raporcie, jak i w potoku, bo mieszanie ich to sposób, w jaki obronne ustalenie staje się żenujące.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Czytaj ostatnią kolumnę równie uważnie jak środkową. Rekord przepływu opisuje adresy i porty, a odwrotne wyszukanie adresu nie odtwarza nazwy użytej przez przeglądarkę, ponieważ jeden adres może hostować wiele niepowiązanych witryn. Zapytanie resolvera dowodzi, że zadano pytanie, a nie że wyświetlono stronę. Nazwa hosta widoczna podczas negocjacji TLS też nie jest zaszyfrowaną ścieżką żądania.
Każda z tych rzeczy jest realną obserwacją i żadna nie jest obserwacją, którą ludzie zakładają. Przeglądarka, która upiera się przy własnym szyfrowanym resolverze, znajduje się poza monitorowanym zakresem, a analiza nie odzyska tego, czego logowanie nigdy nie widziało. Ta luka należy do raportu jako wyraźne ograniczenie, a nie przypis.
Spekulacyjne zapytania i odpowiedzi z pamięci podręcznej
Przeglądarki rozwiązują nazwy z wyprzedzeniem, czasem nie ładując niczego. Odpowiadają też z pamięci podręcznej, nie wysyłając świeżego zapytania do obserwowanego resolvera, co oznacza, że brak zapytania nie jest brakiem wizyty. Oba te zachowania łamią naiwne równanie między logiem DNS a historią przeglądania.
DNS over HTTPS dodaje drugą granicę: przeglądarka lub aplikacja gościa z własnym resolverem nigdy nie pyta loggera organizacji o nic. Dokładne transakcje pochodzą wyłącznie ze zdarzeń samej aplikacji albo z proxy, którego logowanie wyraźnie obsługujesz. Zwykły tunel HTTPS CONNECT nie daje proxy żadnego wglądu w ścieżki stron w środku. Posiadanie sieci nie jest zgodą na ciche zastąpienie modelu zaufania aplikacji.
Adres należy do sesji, nie do osoby
Rekord przepływu z adresem z zakresu tunelu jest punktem wyjścia, a nie odpowiedzią. Połącz ten adres i znacznik czasu z przypisaniem sesji aktywnym w tej chwili, ponieważ adres może zostać przydzielony innej sesji godzinę później. Adresacja statyczna to jeden ze sposobów utrzymania tego powiązania, nie jedyny.
Gdy krok tłumaczenia scala kilka urządzeń w jeden adres źródłowy powyżej czujnika, połączenie może wskazać jedynie współdzieloną sesję bramy. Współdzielone konto lub certyfikat używany przez kilka osób ogranicza przypisanie, niezależnie od tego, jak kompletne wydają się dane sieciowe. Oba należą do raportu jako ograniczenia, a nie zastrzeżenia na później.
Zapisz strefę czasową, źródło zegara, punkt obserwacji i każdą granicę tłumaczenia pomiędzy nimi. Nieobecność zasługuje na taką samą staranność jak obecność, ponieważ brakujący rekord może oznaczać, że wpis przepływu wygasł, czujnik nigdy nie widział pakietu albo log aplikacji był wyłączony.
Projektuj pod podany cel, a potem udowodnij potok
Gdy pytanie jest ustalone, zdefiniuj, które pola są potrzebne, kto może je czytać i jak długo są przechowywane. Zbieranie więcej, bo pamięć jest tania, tworzy zobowiązanie, które przeżyje dochodzenie. Model prywatności w RFC 6973 ujmuje korelację, błędne przypisanie i niepotrzebne zbieranie jako problemy projektowe, a nie jako myśl późniejszą.
Chroń mapowanie i rekordy jako jeden obiekt, ponieważ każde z osobna jest znacznie mniej wrażliwe niż para. Następnie zweryfikuj projekt na aktywności, którą wolno ci wygenerować i którą już rozumiesz, używając najmniejszego zapytania, na którym oprze się raport. Potok, który nie potrafi odtworzyć znanego zdarzenia, nie odtworzy też nieznanego. Raportuj zdarzenie, które wspierają dowody, słowami, na które dowody pozwalają, i pozwól czytelnikowi samodzielnie wyciągnąć większy wniosek.
Zapisz ograniczenia obok ustalenia: co połączono, co przetłumaczono i który log milczał. Ustalenie, które samo wskazuje swoje granice, przetrwa przegląd, którego nie przetrwa pewne siebie podsumowanie. To jest różnica między dowodem a opowieścią o dowodzie.