Что журнал VPN может и чего не может доказать о просмотре сайтов

Прежде чем выбрать сборщик журналов, решите, какое событие должен установить аудит. Вопрос о том, какой сеанс VPN связался с адресом назначения, отличается от вопроса о том, какой человек открыл конкретную страницу. Оба требуют разных записей, разных связываний и разного уровня уверенности. Журнал соединения OpenVPN отвечает на первый и не может ответить на второй.

Назовите событие до выбора сборщика

Запись сеанса показывает принятую идентичность, время начала и окончания и адрес, который сервер назначил по своей политике. Журнал резолвера показывает, что имя запрашивалось у этого резолвера. Запись потока показывает адреса, порты, протокол и время, а журнал приложения показывает транзакцию, которую это приложение действительно обработало. Ни одна из этих четырёх не заменяет другую.

Каждая из них устанавливает одно событие и оставляет остальные открытыми. Если записать вопрос заранее, вы не соберёте историю, которую данные не могут подтвердить.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Первая команда показывает события сеанса из журнала службы. Вторая печатает текущий список клиентов с назначенными адресами, а это то сопоставление, от которого зависит связывание при аудите. Третья показывает живое состояние потока, полезное только пока соединение существует.

Поиск — это не посещение

Браузер разрешает имена предположительно, кеширует ответы и повторно использует их, не спрашивая наблюдаемый резолвер снова. Поэтому имя в журнале резолвера доказывает поиск, а не посещение. DNS через HTTPS расширяет этот разрыв, потому что настроенный для него браузер отправляет свои вопросы туда, где ваш обычный регистратор их никогда не увидит.

Адреса назначения сами по себе не лучше. Один адрес может размещать множество несвязанных сайтов, обратный DNS — это догадка, а не реконструкция, а имя хоста, видимое во время рукопожатия TLS, не является путём запроса внутри зашифрованного сеанса.

Для точных транзакций нужны собственные записи событий приложения или архитектура прокси, явно поддерживаемая для журналирования. Туннель CONNECT даёт прокси адрес назначения и объём, но не пути страниц внутри него. Административный доступ к сети не является лицензией тихо подменять модель доверия приложения.

Свяжите идентичность и время, прежде чем называть человека

Запись потока с внутренним адресом источника ничего не значит, пока этот адрес не связан с сеансом в тот же момент. Адреса используются повторно, и тот же адрес час назад мог принадлежать другому сеансу. Статическое назначение — один способ сохранить связь, но не единственный.

Границы трансляции ещё больше ослабляют связывание. Если несколько устройств уже делили один адрес источника до вашей точки наблюдения, лучшее, что можно определить, — это общий сеанс шлюза, а не одно устройство. Сертификат или учётная запись, используемые несколькими людьми, дают тот же эффект.

Фиксируйте часовые пояса, источники времени, точки наблюдения и каждый шаг трансляции. Отсутствующие записи могут означать, что запись потока устарела, датчик был обойдён или журнал приложения был отключён. Отсутствие не является доказательством того, что ничего не произошло.

Затем определите минимальный набор полей, допущенных читателей и срок хранения для заявленной цели. Корреляция и ошибочное отнесение — это вопросы проектирования, а не запоздалая мысль, и метаданные, идентифицирующие людей, заслуживают такой же защиты, как и сопоставление идентичности, от которого они зависят.

Проверьте аудит на активности, которой вы управляете

Создайте разрешённый трафик, сеанс и приложение которого вы уже знаете, затем проверьте, что фактически зафиксировала каждая запись. Выполните поиск без загрузки страницы, загрузите страницу из кеша и откройте соединение через прокси, и посмотрите, какие события появятся.

Сообщите о событии, которое подтверждают доказательства, и скажите, что они не охватывают. Скромная запись с заявленным охватом выдерживает проверку; амбициозная история просмотров, собранная из догадок, не выдерживает.