Przechowywanie logów VPN: wiąż je z incydentem, nie z liczbą
Przechowywanie wynika z incydentu, treści i polityki, a nie z uniwersalnego terminu. Znajdź każdą kopię, zatrzymaj szczegółowe zbieranie i prowadź krótki zapis.
Nikt tak naprawdę nie pyta, jak długo przechowywać log VPN; pyta, do czego log służy, a odpowiedź na to wyznacza datę. Z jednego incydentu mogą wyjść dwa pliki o różnym czasie życia, a traktowanie ich jako jednej polityki daje jednocześnie nadmierne przechowywanie i utratę dowodów. Eksport debugowania wykonany, gdy przyczyna była nieznana, to nie ten sam artefakt co wiersz w magazynie monitoringu. Zacznij od celu, a potem wybierz datę.
Odpowiedz na cztery pytania, zanim wybierzesz datę
Cztery pytania decydują, czy plik zostaje: czy incydent jest wciąż otwarty, co zawiera plik, kto musi go przeczytać i czego wymaga obowiązująca polityka. Odpowiedz w tej kolejności, a data przechowywania wyniknie sama. Rozumowanie mieści się w tabeli:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Dopóki incydent jest otwarty, trzymaj jeden chroniony oryginał, aby później porównać zdarzenia lub odpowiedzieć na pytanie wsparcia, i wyznacz mu pisemnie właściciela i cel. Dla każdego spoza zespołu reagowania zwykle wystarczy krótki zredagowany wyciąg, a obronić go znacznie łatwiej niż pełny eksport. Oryginał i wyciąg to odrębne artefakty z odrębnymi odbiorcami, i to właśnie ich scalenie tworzy jednocześnie nadmierne przechowywanie i utratę dowodów. Polityka wyznacza dolny limit, więc jeśli wymaga dłuższego okresu niż twoje rozumowanie, wygrywa polityka.
Zamknij incydent zapisem, a nie eksportem
Wpisz w zgłoszeniu czterowierszowy zapis: objaw, klienta i wersję, jedyny wiersz błędu, który go zidentyfikował, oraz poprawkę. Nie dołączaj nic więcej, bo eksport był dla ciebie, a zapis jest dla następnej osoby.
Zapis ma też większą szansę, że zostanie przeczytany: pełny eksport służy głównie temu, kto go wykonał, a ta osoba już wie, co się stało. Trzymaj zapis tam, gdzie będzie szukany następny incydent, co zwykle oznacza zgłoszenie, a nie folder nazwany datą. Numer sprawy może nieść odwołanie, jeśli zapis musi być identyfikowalny bez ujawniania identyfikatora połączenia. Jeśli jakieś pytanie jest wciąż otwarte, oryginał pozostaje pod powyższą zasadą chronionej kopii; gdy zapis istnieje, wszystko inne może odejść.
Znajdź każdą kopię, zanim jedną usuniesz
Zajrzyj do folderu eksportu, potem do dziennika okna incydentu, potem do załączników zgłoszenia, potem do katalogu kopii zapasowych, potem do magazynu monitoringu. Jeśli ten sam identyfikator połączenia pojawi się w piątym miejscu, inwentarz był błędny. Dziennik jest zwykłym zaskoczeniem, bo zbierał dalej, gdy czytałeś eksport.
Użyj obsługiwanej ścieżki rotacji i usuwania zamiast odłączać pliki ręcznie. Plik, który jest jeszcze otwarty, zachowuje swoją przestrzeń po zniknięciu wpisu katalogowego, więc usunięcie wygląda na kompletne i niczego nie zwalnia. To błąd pamięci masowej z etykietą prywatności i nie spełnia żadnego z dwóch celów.
Zatrzymaj zbieranie, zanim zweryfikujesz usunięcie
Zatrzymaj tymczasowe szczegółowe zbieranie przez aplikację, która je posiada, a nie przez edycję jej pliku wyjściowego. Zapomniane ustawienie debugowania nadal zapisuje nowe rekordy po usunięciu starych, co po cichu odwraca pracę, którą właśnie wykonałeś. Sprawdź rzeczywisty poziom logowania, a nie wartość, którą pamiętasz, że ustawiłeś. Następnie potwierdź, że to, co zostało, jest chronione i że tylko zamierzone osoby mogą to pobrać.
Zasada to minimalizacja danych: trzymaj to, czego wymaga zadeklarowany cel, tak długo, jak to potrzebne, i nic więcej, jak to wytyczne dotyczące prywatności RFC 6973 formułują. Plik przechowywany bez celu to zobowiązanie ze znacznikiem czasu. Decyzja jest zakończona, gdy możesz nazwać plik, jego cel, właściciela i datę końcową.