Šta VPN dnevnik može, a šta ne može dokazati o pregledanju

Prije nego odaberete sakupljač dnevnika, odredite koji događaj revizija mora utvrditi. Pitanje koja je VPN sesija kontaktirala odredišnu adresu razlikuje se od pitanja koja je osoba otvorila određenu stranicu. To dvoje zahtijeva različite zapise, različita povezivanja i različite razine pouzdanja. Dnevnik veze OpenVPN odgovara na prvo i ne može odgovoriti na drugo.

Imenujte događaj prije odabira sakupljača

Zapis o sesiji pokazuje prihvaćeni identitet, vrijeme početka i kraja te adresu koju je poslužitelj dodijelio po vlastitoj politici. Dnevnik razrješivača pokazuje da je ime bilo upitano na tom razrješivaču. Zapis o toku pokazuje adrese, portove, protokol i vrijeme, a dnevnik aplikacije pokazuje transakciju koju je ta aplikacija stvarno obradila. Nijedan od ta četiri nije zamjena za drugi.

Svaki od njih utvrđuje jedan događaj i ostavlja ostale otvorenima. Zapisivanje pitanja unaprijed sprječava vas da sastavite priču koju podaci ne mogu podržati.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Prva naredba pokazuje događaje sesije iz dnevnika usluge. Druga ispisuje trenutni popis klijenata s dodijeljenim adresama, što je mapiranje o kojem ovisi povezivanje u reviziji. Treća pokazuje živo stanje toka, korisno samo dok veza još postoji.

Upit nije posjeta

Preglednik imena rješava nagađanjem, kešira odgovore i ponovno ih koristi bez ponovnog pitanja nadziranog razrješivača. Ime u dnevniku razrješivača zato dokazuje upit, a ne posjetu. DNS preko HTTPS-a tu prazninu proširuje, jer preglednik konfiguriran za to šalje svoja pitanja tamo gdje ih vaš uobičajeni zapisivač nikada ne vidi.

Odredišne adrese same po sebi nisu bolje. Jedna adresa može ugostiti mnogo nepovezanih stranica, obrnuti DNS je nagađanje, a ne rekonstrukcija, a ime hosta vidljivo tijekom TLS rukovanja nije putanja zahtjeva unutar šifrirane sesije.

Za točne transakcije potrebni su vam vlastiti zapisi o događajima aplikacije ili dizajn posrednika koji je izričito podržan za zapisivanje. CONNECT tunel daje posredniku odredište i obujam, ali ne putanje stranica unutar njega. Administrativni pristup mreži nije licenca za tiho zamjenjivanje modela povjerenja aplikacije.

Povežite identitet i vrijeme prije nego imenujete osobu

Zapis o toku s unutarnjom izvorišnom adresom ne znači ništa dok se ta adresa ne poveže sa sesijom u isto vrijeme. Adrese se ponovno koriste, a ista je adresa sat ranije mogla pripadati drugoj sesiji. Statička dodjela jedan je način da se veza zadrži, ali nije jedini.

Granice prevođenja dodatno slabe povezivanje. Ako je nekoliko uređaja već dijelilo jednu izvorišnu adresu prije vaše točke promatranja, najbolje što možete identificirati jest zajednička sesija pristupnika, a ne pojedinačni uređaj. Certifikat ili račun koji koristi više ljudi ima isti učinak.

Zabilježite vremenske zone, izvore sata, točke promatranja i svaki korak prevođenja. Nedostajući zapisi mogu značiti da je zapis o toku istekao, da je senzor zaobiđen ili da je dnevnik aplikacije bio isključen. Odsutnost nije dokaz da se ništa nije dogodilo.

Zatim odredite najmanji skup polja, dopuštene čitatelje i razdoblje čuvanja za navedenu svrhu. Korelacija i pogrešno pripisivanje pitanja su dizajna, a ne naknadna misao, i metapodaci koji identificiraju ljude zaslužuju istu zaštitu kao i mapiranje identiteta o kojem ovise.

Provjerite reviziju aktivnošću koju kontrolirate

Generirajte dopušteni promet čiju sesiju i aplikaciju već poznajete, pa provjerite što je svaki zapis stvarno zahvatio. Izvedite upit bez učitavanja stranice, učitajte stranicu iz keša i otvorite vezu kroz posrednik te pogledajte koji se događaji pojavljuju.

Izvijestite o događaju koji dokazi podržavaju i recite što ne pokrivaju. Skroman zapis s navedenim opsegom prolazi pregled; ambiciozna povijest pregledanja sastavljena od nagađanja ne prolazi.