Co dziennik VPN może, a czego nie może udowodnić o przeglądaniu

Przed wybraniem kolektora logów zdecyduj, które zdarzenie audyt ma ustalić. Pytanie, która sesja VPN połączyła się z adresem docelowym, jest inne niż pytanie, która osoba otworzyła konkretną stronę. Oba wymagają innych zapisów, innych połączeń i innych poziomów pewności. Dziennik połączenia OpenVPN odpowiada na pierwsze i nie może odpowiedzieć na drugie.

Nazwij zdarzenie przed wyborem kolektora

Zapis sesji pokazuje zaakceptowaną tożsamość, czas rozpoczęcia i zakończenia oraz adres, który serwer przydzielił zgodnie z własną polityką. Dziennik resolvera pokazuje, że nazwa została zapytana u tego resolvera. Zapis przepływu pokazuje adresy, porty, protokół i czas, a dziennik aplikacji pokazuje transakcję, którą ta aplikacja faktycznie obsłużyła. Żaden z tych czterech nie zastępuje innego.

Każdy z nich ustala jedno zdarzenie, a pozostałe zostawia otwarte. Zapisanie pytania na początku powstrzymuje cię przed złożeniem historii, której dane nie mogą wesprzeć.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Pierwsze polecenie pokazuje zdarzenia sesji z dziennika usługi. Drugie wypisuje bieżącą listę klientów z przydzielonymi adresami, czyli mapowanie, od którego zależy połączenie w audycie. Trzecie pokazuje stan przepływu na żywo, przydatny tylko dopóki połączenie istnieje.

Wyszukanie to nie odwiedziny

Przeglądarka rozwiązuje nazwy spekulatywnie, buforuje odpowiedzi i używa ich ponownie, nie pytając ponownie obserwowanego resolvera. Nazwa w dzienniku resolvera dowodzi więc wyszukania, a nie odwiedzin. DNS przez HTTPS poszerza tę lukę, ponieważ przeglądarka tak skonfigurowana wysyła pytania tam, gdzie twój zwykły rejestrator ich nigdy nie widzi.

Adresy docelowe same w sobie nie są lepsze. Jeden adres może hostować wiele niepowiązanych witryn, odwrotny DNS jest domysłem, a nie rekonstrukcją, a nazwa hosta widoczna podczas uścisku dłoni TLS nie jest ścieżką żądania wewnątrz szyfrowanej sesji.

Do dokładnych transakcji potrzebujesz własnych zapisów zdarzeń aplikacji albo projektu proxy jawnie obsługiwanego do logowania. Tunel CONNECT daje proxy cel i wolumen, a nie ścieżki stron w środku. Dostęp administracyjny do sieci nie jest licencją na ciche zastąpienie modelu zaufania aplikacji.

Połącz tożsamość i czas, zanim wskażesz osobę

Zapis przepływu z wewnętrznym adresem źródłowym nic nie znaczy, dopóki ten adres nie zostanie połączony z sesją w tym samym czasie. Adresy są ponownie używane, a ten sam adres mógł godzinę wcześniej należeć do innej sesji. Przydział statyczny to jeden sposób zachowania powiązania, nie jedyny.

Granice tłumaczenia jeszcze bardziej osłabiają połączenie. Jeśli kilka urządzeń dzieliło już jeden adres źródłowy przed twoim punktem obserwacji, najlepsze, co możesz zidentyfikować, to współdzielona sesja bramy, a nie jedno urządzenie. Certyfikat lub konto używane przez kilka osób ma ten sam efekt.

Rejestruj strefy czasowe, źródła zegara, punkty obserwacji i każdy krok tłumaczenia. Brakujące zapisy mogą oznaczać, że wpis przepływu wygasł, że czujnik został ominięty albo że dziennik aplikacji był wyłączony. Nieobecność nie jest dowodem, że nic się nie stało.

Następnie zdefiniuj minimalne pola, dozwolonych czytelników i okres przechowywania dla podanego celu. Korelacja i błędne przypisanie są kwestiami projektowymi, a nie późniejszą myślą, a metadane identyfikujące osoby zasługują na taką samą ochronę jak mapowanie tożsamości, od którego zależą.

Sprawdź audyt działaniem, które kontrolujesz

Wygeneruj dozwolony ruch, którego sesję i aplikację już znasz, a następnie sprawdź, co każdy zapis faktycznie przechwycił. Wykonaj wyszukanie bez ładowania strony, załaduj stronę z pamięci podręcznej i otwórz połączenie przez proxy, i zobacz, które zdarzenia się pojawiają.

Zgłoś zdarzenie, które wspierają dowody, i powiedz, czego nie obejmują. Skromny zapis z podanym zakresem przechodzi przegląd; ambitna historia przeglądania złożona z domysłów nie przechodzi.