Хранение журналов VPN: привяжите его к инциденту, а не к числу
Срок хранения определяется инцидентом, содержимым и политикой, а не универсальным дедлайном. Найдите каждую копию, остановите подробный сбор и ведите короткую запись.
На самом деле никто не спрашивает, как долго хранить журнал VPN; спрашивают, для чего нужен журнал, и ответ на это задаёт дату. Из одного инцидента могут выйти два файла с разным сроком жизни, и если обращаться с ними как с одной политикой, получаются одновременно избыточное хранение и потеря доказательств. Отладочный экспорт, снятый пока причина была неизвестна, — не тот же артефакт, что строка в хранилище мониторинга. Начните с цели, а затем выберите дату.
Ответьте на четыре вопроса, прежде чем выбирать дату
Четыре вопроса решают, останется ли файл: открыт ли инцидент до сих пор, что содержит файл, кому нужно его прочитать и что требует применимая политика. Ответьте в этом порядке, и срок хранения определится сам. Обоснование помещается в таблицу:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Пока инцидент открыт, держите одну защищённую копию оригинала, чтобы позже сравнить события или ответить на вопрос поддержки, и письменно назначьте ей владельца и цель. Всем за пределами группы реагирования обычно достаточно короткой отредактированной выдержки, и защищать её гораздо проще, чем полный экспорт. Оригинал и выдержка — разные артефакты с разной аудиторией, и именно их слияние создаёт и избыточное хранение, и потерю доказательств. Политика задаёт нижнюю границу, поэтому если она требует больше времени, чем ваше обоснование, побеждает политика.
Закройте инцидент записью, а не экспортом
Запишите в заявку запись из четырёх строк: симптом, клиент и версия, единственная строка ошибки, которая его выявила, и исправление. Не прикрепляйте ничего другого, потому что экспорт был для вас, а запись — для следующего человека.
Запись ещё и вероятнее прочитают: полный экспорт в основном нужен тому, кто его снял, а этот человек уже знает, что произошло. Держите запись там, где будут искать следующий инцидент, а это обычно заявка, а не папка с названием по дате. Номер дела может нести ссылку, если запись должна быть прослеживаемой без раскрытия идентификатора соединения. Если какой-то вопрос всё ещё открыт, оригинал остаётся под правилом защищённой копии выше; как только запись существует, всё остальное можно удалять.
Найдите каждую копию, прежде чем удалить одну
Посмотрите в папке экспорта, затем в журнале за окно инцидента, затем во вложениях заявки, затем в каталоге резервных копий, затем в хранилище мониторинга. Если тот же идентификатор соединения обнаружится в пятом месте, инвентаризация была неверной. Журнал — обычный сюрприз, потому что он продолжал собирать, пока вы читали экспорт.
Используйте поддерживаемый путь ротации и удаления вместо ручного отсоединения файлов. Файл, который всё ещё открыт, сохраняет своё место после исчезновения записи каталога, поэтому удаление выглядит полным и ничего не освобождает. Это ошибка хранилища с этикеткой приватности, и она не удовлетворяет ни одной из двух целей.
Остановите сбор, прежде чем проверять удаление
Остановите временный подробный сбор через приложение, которому он принадлежит, а не правкой его выходного файла. Забытая отладочная настройка продолжает писать новые записи после удаления старых, что тихо отменяет только что сделанную работу. Проверьте фактический уровень журналирования, а не значение, которое вы помните. Затем убедитесь, что оставшееся защищено и что получить его могут только предназначенные люди.
Принцип — минимизация данных: держите то, что нужно заявленной цели, столько, сколько нужно, и ничего сверх этого, как это руководство по приватности RFC 6973 формулирует. Файл, хранимый без цели, — это обязательство с отметкой времени. Решение завершено, когда вы можете назвать файл, его цель, владельца и дату окончания.