Može li VPN dnevnik pokazati povijest pregledavanja? Što dokaz pokazuje
Dnevnik sesije, upit rezolvera i zapis toka dokazuju različite stvari. Odaberite pitanje, spojite identitet i vrijeme, pa navedite samo ono što je pokazano.
Dva revizijska pitanja zvuče slično i traže različite vrste dokaza. Koja je sesija kontaktirala ovu adresu može se odgovoriti iz zapisa veza i tokova. Koja je osoba otvorila ovu stranicu obično ne, barem ne iz tih zapisa. Odabir skupljača prije odabira pitanja jest način na koji mrežni tim na kraju predstavi naziv hosta kao povijest pregledavanja.
Pođite od događaja koji revizija mora utvrditi
Napišite pitanje kao rečenicu sa subjektom, glagolom i vremenom. Sama ta disciplina otkriva jaz između zapisa sesije i prikaza stranice. Dnevnik sesije utvrđuje da je identitet prihvaćen, za neki interval, s dodijeljenom adresom prema zabilježenoj politici, i ne može utvrditi koju je stranicu netko čitao jer nikada nije vidio zahtjev.
Označite opažanje prije nego što osmislite prikupljanje. Polje nazvano po posjećenom lokalitetu koje zapravo čuva razriješeno ime jest buduća pogreška, a ne pogodnost. Imena polja žive dulje od ljudi koji su ih odabrali, zato birajte imena koja opisuju dokaz, a ne zaključak.
Što svaki zapis može i što ne može potkrijepiti
Četiri vrste zapisa pojavljuju se u gotovo svakom revizijskom nacrtu, a svaki odgovara na drugo pitanje. Držite ih odvojeno u izvješću i u cjevovodu, jer njihovo miješanje jest način na koji obranjiv nalaz postaje neugodan.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Čitajte zadnji stupac jednako pažljivo kao srednji. Zapis toka opisuje adrese i portove, a obrnuto traženje adrese ne rekonstruira ime koje je preglednik koristio, jer jedna adresa može ugostiti mnogo nepovezanih lokaliteta. Upit rezolvera dokazuje da je pitanje postavljeno, a ne da je stranica prikazana. Naziv hosta vidljiv tijekom TLS pregovaranja također nije šifrirani put zahtjeva.
Svako je od toga stvarno opažanje i nijedno nije opažanje koje ljudi pretpostavljaju. Preglednik koji ustraje na vlastitom šifriranom rezolveru nalazi se izvan nadziranog opsega i analiza ne može vratiti ono što zapisivanje nikada nije vidjelo. Taj jaz pripada izvješću kao izričito ograničenje, a ne kao fusnota.
Spekulativni upiti i odgovori iz predmemorije
Preglednici razrješavaju imena unaprijed, ponekad bez ičega učitanog. Odgovaraju i iz predmemorije bez slanja novog upita rezolveru koji nadzirete, što znači da odsutnost upita nije odsutnost posjeta. Oba ponašanja ruše naivnu jednadžbu između DNS dnevnika i povijesti pregledavanja.
DNS over HTTPS dodaje drugu granicu: preglednik ili gostujuća aplikacija s vlastitim rezolverom nikada ništa ne pita zapisivač organizacije. Točne transakcije dolaze samo iz događaja same aplikacije ili iz proxyja čije zapisivanje izričito podržavate. Obični tunel HTTPS CONNECT ne daje proxyju nikakav uvid u putanje stranica unutra. Posjedovanje mreže nije dopuštenje da se tiho zamijeni model povjerenja aplikacije.
Adresa pripada sesiji, a ne osobi
Zapis toka koji nosi adresu iz raspona tunela početna je točka, a ne odgovor. Spojite tu adresu i vremensku oznaku s dodjelom sesije aktivnom u tom trenutku, jer ta adresa može sat kasnije biti dodijeljena drugoj sesiji. Statičko adresiranje jedan je način da se ta veza zadrži, ali ne i jedini.
Gdje korak prevođenja spaja nekoliko uređaja u jednu izvornu adresu uzvodno od senzora, spajanje može imenovati samo zajedničku sesiju pristupnika. Zajednički račun ili certifikat koji koristi više ljudi ograničava pripisivanje koliko god mrežni podaci izgledali potpuni. Oboje pripada izvješću kao ograničenja, a ne kao ograde za kasnije.
Zabilježite vremensku zonu, izvor sata, točku opažanja i svaku granicu prevođenja između njih. Odsutnost zaslužuje istu pažnju kao prisutnost, jer zapis koji nedostaje može značiti da je unos toka istekao, da senzor nikada nije vidio paket ili da je dnevnik aplikacije bio isključen.
Projektirajte za navedenu svrhu, zatim dokažite cjevovod
Kad je pitanje utvrđeno, definirajte koja su polja potrebna, tko ih smije čitati i koliko se dugo čuvaju. Prikupljanje više zato što je pohrana jeftina stvara obvezu koja nadživi istragu. Model privatnosti u RFC 6973 okvire korelaciju, pogrešno pripisivanje i nepotrebno prikupljanje kao projektne probleme, a ne kao naknadnu misao.
Čuvajte preslikavanje i zapise kao jedan objekt, jer je svako pojedinačno mnogo manje osjetljivo od para. Zatim provjerite nacrt na aktivnosti koju smijete stvarati i koju već razumijete, koristeći najmanji upit na kojem će se izvješće temeljiti. Cjevovod koji ne može reproducirati poznati događaj neće reproducirati ni nepoznati. Izvijestite o događaju koji dokaz podupire, riječima koje dokaz dopušta, i pustite čitatelja da sam dođe do većeg zaključka.
Napišite ograničenja uz nalaz: što je spojeno, što je prevedeno i koji je dnevnik ostao nijem. Nalaz koji navodi vlastite granice prolazi provjeru koju samouvjeren sažetak ne prolazi. To je razlika između dokaza i priče o dokazu.