Um log de VPN pode mostrar o histórico de navegação? O que a evidência prova
Um log de sessão, uma consulta ao resolver e um registro de fluxo provam coisas diferentes. Escolha a pergunta, combine identidade e tempo e afirme apenas o que foi demonstrado.
Duas perguntas de auditoria parecem semelhantes e exigem evidências de tipos diferentes. Qual sessão contactou este endereço é respondível a partir de registros de conexão e de fluxo. Qual pessoa abriu esta página normalmente não é, pelo menos não a partir desses registros. Escolher um coletor antes de escolher a pergunta é como uma equipe de rede acaba apresentando um nome de host como histórico de navegação.
Comece pelo evento que a auditoria precisa estabelecer
Escreva a pergunta como uma frase com sujeito, verbo e tempo. Só essa disciplina já expõe a lacuna entre um registro de sessão e uma visualização de página. Um log de sessão estabelece que uma identidade foi aceita, por um intervalo, com um endereço atribuído sob uma política registrada, e não consegue estabelecer qual página alguém leu porque nunca viu o pedido.
Rotule a observação antes de projetar a coleta. Um campo nomeado em homenagem a um site visitado que na verdade armazena um nome resolvido é um erro futuro, não uma comodidade. Nomes de campos sobrevivem às pessoas que os escolheram, então escolha os que descrevem a prova e não a conclusão.
O que cada registro pode e não pode sustentar
Quatro tipos de registro aparecem em quase todo desenho de auditoria, e cada um responde a uma pergunta diferente. Mantenha-os separados no relatório e também no pipeline, porque misturá-los é como uma constatação defensável se torna embaraçosa.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Leia a última coluna com o mesmo cuidado que a do meio. Um registro de fluxo descreve endereços e portas, e uma consulta reversa de um endereço não reconstrói o nome que um navegador usou, porque um endereço pode hospedar muitos sites não relacionados. Uma consulta ao resolver prova que uma pergunta foi feita, não que uma página foi exibida. Um nome de host visível durante uma negociação TLS também não é o caminho do pedido criptografado.
Cada uma dessas é uma observação real, e nenhuma delas é a observação que as pessoas supõem. Um navegador que insiste no próprio resolver criptografado fica fora do escopo monitorado, e a análise não pode recuperar o que o registro nunca viu. Essa lacuna pertence ao relatório como um limite declarado e não como nota de rodapé.
Consultas especulativas e respostas em cache
Os navegadores resolvem nomes antecipadamente, às vezes sem carregar nada. Também respondem do cache sem enviar uma consulta nova ao resolver que você observa, o que significa que a ausência de consulta não é a ausência de visita. Os dois comportamentos quebram a equação ingênua entre um log de DNS e o histórico de navegação.
DNS over HTTPS acrescenta uma segunda fronteira: um navegador ou aplicativo convidado com resolver próprio nunca pergunta nada ao registrador da organização. Transações exatas vêm apenas dos eventos do próprio aplicativo ou de um proxy cujo registro você apoia explicitamente. Um túnel HTTPS CONNECT comum não deixa o proxy ver os caminhos das páginas lá dentro. Ser dono da rede não é permissão para trocar o modelo de confiança do aplicativo em silêncio.
O endereço pertence a uma sessão, não a uma pessoa
Um registro de fluxo que carrega um endereço da faixa do túnel é um ponto de partida e não uma resposta. Combine esse endereço e carimbo de tempo com a atribuição de sessão ativa naquele momento, porque esse endereço pode ser reatribuído a outra sessão uma hora depois. Endereçamento estático é uma forma de manter essa associação e não a única.
Onde uma etapa de tradução junta vários dispositivos em um único endereço de origem a montante do sensor, a combinação só pode nomear a sessão do gateway compartilhado. Uma conta compartilhada ou um certificado usado por várias pessoas limita a atribuição por mais completos que os dados de rede pareçam. Ambos pertencem ao relatório como limites e não como ressalvas para depois.
Registre o fuso horário, a fonte do relógio, o ponto de observação e cada fronteira de tradução entre eles. A ausência merece o mesmo cuidado que a presença, pois um registro faltante pode significar que uma entrada de fluxo expirou, que um sensor nunca viu o pacote ou que um log de aplicativo estava desligado.
Projete para a finalidade declarada e depois prove o pipeline
Uma vez fixada a pergunta, defina quais campos são necessários, quem pode lê-los e por quanto tempo são mantidos. Coletar mais porque o armazenamento é barato cria um passivo que sobrevive à investigação. O modelo de privacidade da RFC 6973 enquadra correlação, atribuição errada e coleta desnecessária como problemas de projeto e não como reflexão tardia.
Proteja o mapeamento e os registros como um único objeto, porque cada um sozinho é muito menos sensível do que o par. Depois valide o projeto contra atividade que você tem permissão para gerar e já entende, usando a menor consulta da qual o relatório dependerá. Um pipeline que não consegue reproduzir um evento conhecido também não reproduzirá um desconhecido. Relate o evento que a evidência sustenta, nas palavras que a evidência permite, e deixe o leitor chegar à conclusão maior sem ajuda.
Escreva os limites ao lado da constatação: o que foi combinado, o que foi traduzido e qual log ficou em silêncio. Uma constatação que declara suas próprias fronteiras sobrevive a uma revisão que um resumo confiante não sobrevive. Essa é a diferença entre evidência e uma história sobre evidência.