Păstrarea jurnalelor VPN: legați-o de incident, nu de un număr
Păstrarea urmează incidentul, conținutul și politica, nu un termen universal. Găsiți fiecare copie, opriți colectarea detaliată și țineți o înregistrare scurtă.
Nimeni nu întreabă de fapt cât timp să păstreze un jurnal VPN; întreabă la ce folosește jurnalul, iar răspunsul la asta stabilește data. Dintr-un singur incident pot ieși două fișiere cu durate de viață diferite, iar tratarea lor ca o singură politică produce atât păstrare excesivă, cât și pierderea probelor. Un export de depanare capturat cât timp cauza era necunoscută nu este același artefact ca o linie dintr-un depozit de monitorizare. Începeți cu scopul, apoi alegeți data.
Răspundeți la patru întrebări înainte de a alege o dată
Patru întrebări decid dacă un fișier rămâne: incidentul este încă deschis, ce conține fișierul, cine trebuie să îl citească și ce cere politica aplicabilă. Răspundeți în această ordine și data păstrării rezultă singură. Raționamentul încape într-un tabel:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Cât timp incidentul este deschis, păstrați un original protejat ca să puteți compara ulterior evenimente sau răspunde la o întrebare de suport, și atribuiți-i în scris un proprietar și un scop. Pentru oricine din afara echipei de răspuns, un extras scurt și redactat este de obicei suficient, și este mult mai ușor de apărat decât exportul complet. Originalul și extrasul sunt artefacte separate cu publicuri separate, iar fuzionarea lor este cea care creează atât păstrare excesivă, cât și pierderea probelor. Politica stabilește un prag minim, așa că dacă cere mai mult timp decât raționamentul dumneavoastră, câștigă politica.
Închideți incidentul cu o înregistrare, nu cu un export
Scrieți în tichet o înregistrare de patru rânduri: simptomul, clientul și versiunea, singurul rând de eroare care l-a identificat și remedierea. Nu atașați nimic altceva, pentru că exportul a fost pentru dumneavoastră, iar înregistrarea este pentru următoarea persoană.
Înregistrarea are și mai multe șanse să fie citită: exportul complet servește în primul rând persoana care l-a capturat, iar acea persoană știe deja ce s-a întâmplat. Țineți înregistrarea acolo unde va fi căutat următorul incident, ceea ce înseamnă de obicei tichetul, nu un folder numit după o dată. Un număr de caz poate purta referința dacă înregistrarea trebuie să fie trasabilă fără a expune un identificator de conexiune. Dacă mai există o întrebare deschisă, originalul rămâne sub regula copiei protejate de mai sus; odată ce înregistrarea există, tot restul poate pleca.
Găsiți fiecare copie înainte de a șterge una
Uitați-vă în folderul de export, apoi în jurnalul pentru fereastra incidentului, apoi în atașamentele tichetului, apoi în catalogul copiilor de siguranță, apoi în depozitul de monitorizare. Dacă același identificator de conexiune apare într-un al cincilea loc, inventarul era greșit. Jurnalul este surpriza obișnuită, pentru că a continuat să colecteze în timp ce citeați exportul.
Folosiți calea de rotație și ștergere acceptată în loc să decuplați fișiere manual. Un fișier încă deschis își păstrează spațiul după ce intrarea de director dispare, așa că ștergerea pare completă și nu eliberează nimic. Este un defect de stocare cu etichetă de confidențialitate și nu îndeplinește niciunul dintre cele două scopuri.
Opriți colectarea înainte de a verifica ștergerea
Opriți colectarea detaliată temporară prin aplicația care o deține, nu editându-i fișierul de ieșire. O setare de depanare uitată continuă să scrie înregistrări noi după ce cele vechi au fost eliminate, ceea ce anulează în liniște munca pe care tocmai ați făcut-o. Verificați nivelul efectiv de jurnalizare, nu valoarea pe care vă amintiți că ați stabilit-o. Apoi confirmați că ceea ce rămâne este protejat și că doar persoanele prevăzute îl pot recupera.
Principiul este minimizarea datelor: păstrați ce are nevoie un scop declarat, atât timp cât este necesar, și nimic mai mult, așa cum o îndrumările privind confidențialitatea RFC 6973 formulează. Un fișier păstrat fără scop este o obligație cu marcă de timp. Decizia este încheiată când puteți numi fișierul, scopul, proprietarul și data de sfârșit.