Poate un jurnal VPN să arate istoricul de navigare? Ce dovedește dovada
Un jurnal de sesiune, o interogare a resolverului și o înregistrare de flux dovedesc lucruri diferite. Alege întrebarea, unește identitatea și timpul, apoi afirmă doar ce s-a arătat.
Două întrebări de audit sună similar și cer dovezi de feluri diferite. Ce sesiune a contactat această adresă se poate răspunde din înregistrările de conexiune și de flux. Ce persoană a deschis această pagină de obicei nu, cel puțin nu din acele înregistrări. Alegerea unui colector înainte de alegerea întrebării este modul în care o echipă de rețea ajunge să prezinte un nume de gazdă drept istoric de navigare.
Începe cu evenimentul pe care auditul trebuie să îl stabilească
Scrie întrebarea ca o propoziție cu subiect, verb și timp. Doar această disciplină expune decalajul dintre o înregistrare de sesiune și o vizualizare de pagină. Un jurnal de sesiune stabilește că o identitate a fost acceptată, pentru un interval, cu o adresă atribuită sub o politică înregistrată, și nu poate stabili ce pagină a citit cineva, pentru că nu a văzut niciodată cererea.
Etichetează observația înainte de a proiecta colectarea. Un câmp numit după un site vizitat care de fapt stochează un nume rezolvat este o eroare viitoare, nu o comoditate. Numele câmpurilor supraviețuiesc oamenilor care le-au ales, așa că alege nume care descriu dovada, nu concluzia.
Ce poate și ce nu poate susține fiecare înregistrare
Patru tipuri de înregistrări apar în aproape orice proiect de audit, iar fiecare răspunde la o întrebare diferită. Ține-le separate în raport și în flux, pentru că amestecarea lor este modul în care o constatare defensabilă devine jenantă.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Citește ultima coloană la fel de atent ca cea din mijloc. O înregistrare de flux descrie adrese și porturi, iar o căutare inversă a unei adrese nu reconstruiește numele folosit de un browser, pentru că o adresă poate găzdui multe site-uri fără legătură. O interogare a resolverului dovedește că s-a pus o întrebare, nu că s-a afișat o pagină. Un nume de gazdă vizibil în timpul unei negocieri TLS nu este nici calea cererii criptate.
Fiecare dintre acestea este o observație reală și niciuna nu este observația pe care oamenii o presupun. Un browser care insistă pe propriul resolver criptat stă în afara zonei monitorizate, iar analiza nu poate recupera ce nu a văzut niciodată jurnalizarea. Acel decalaj își are locul în raport ca o limită declarată, nu ca o notă de subsol.
Interogări speculative și răspunsuri din cache
Browserele rezolvă nume în avans, uneori fără să încarce nimic. De asemenea, răspund din cache fără a trimite o interogare nouă resolverului pe care îl urmărești, ceea ce înseamnă că absența unei interogări nu este absența unei vizite. Ambele comportamente rup ecuația naivă dintre un jurnal DNS și istoricul de navigare.
DNS over HTTPS adaugă o a doua frontieră: un browser sau o aplicație oaspete cu resolver propriu nu întreabă niciodată nimic jurnalizatorul organizației. Tranzacțiile exacte vin doar din evenimentele aplicației înseși sau dintr-un proxy a cărui jurnalizare o susții explicit. Un tunel HTTPS CONNECT simplu nu îi lasă proxy-ului nicio vedere asupra căilor paginilor din interior. A deține rețeaua nu este permisiunea de a schimba în tăcere modelul de încredere al aplicației.
Adresa aparține unei sesiuni, nu unei persoane
O înregistrare de flux care poartă o adresă din intervalul tunelului este un punct de plecare, nu un răspuns. Unește acea adresă și marcajul de timp cu atribuirea de sesiune activă în acel moment, pentru că adresa poate fi reatribuită unei alte sesiuni o oră mai târziu. Adresarea statică este o cale de a păstra acea asociere și nu singura.
Acolo unde un pas de traducere reunește mai multe dispozitive într-o singură adresă sursă în amonte de senzor, unirea poate numi doar sesiunea gateway-ului partajat. Un cont partajat sau un certificat folosit de mai multe persoane limitează atribuirea oricât de complete ar părea datele de rețea. Ambele își au locul în raport ca limite, nu ca rezerve pentru mai târziu.
Înregistrează fusul orar, sursa ceasului, punctul de observare și fiecare frontieră de traducere dintre ele. Absența merită aceeași grijă ca prezența, fiindcă o înregistrare lipsă poate însemna că o intrare de flux a expirat, că un senzor nu a văzut niciodată pachetul sau că un jurnal de aplicație a fost oprit.
Proiectează pentru scopul declarat, apoi dovedește fluxul
Odată ce întrebarea este fixată, definește ce câmpuri sunt necesare, cine le poate citi și cât timp sunt păstrate. A colecta mai mult pentru că stocarea este ieftină creează o răspundere care supraviețuiește investigației. Modelul de confidențialitate din RFC 6973 tratează corelarea, atribuirea greșită și colectarea inutilă ca probleme de proiectare, nu ca gânduri de mai târziu.
Protejează maparea și înregistrările ca un singur obiect, pentru că fiecare singur este mult mai puțin sensibil decât perechea. Apoi validează proiectul pe activitate pe care ai voie să o generezi și pe care o înțelegi deja, folosind cea mai mică interogare pe care se va baza raportul. Un flux care nu poate reproduce un eveniment cunoscut nu va reproduce nici unul necunoscut. Raportează evenimentul pe care îl susțin dovezile, în cuvintele pe care dovezile le permit, și lasă cititorul să ajungă singur la concluzia mai mare.
Scrie limitele lângă constatare: ce s-a unit, ce s-a tradus și care jurnal a rămas tăcut. O constatare care își declară propriile granițe trece de o revizuire de care un rezumat încrezător nu trece. Aceasta este diferența dintre dovadă și o poveste despre dovadă.