Môže záznam VPN ukázať históriu prehliadania? Čo dôkaz preukazuje
Záznam relácie, dotaz na resolver a záznam toku preukazujú rôzne veci. Vyberte otázku, prepojte identitu a čas a potom uveďte iba to, čo sa ukázalo.
Dve audítorské otázky znejú podobne a vyžadujú dôkazy rôzneho druhu. Na to, ktorá relácia kontaktovala túto adresu, sa dá odpovedať zo záznamov spojení a tokov. Na to, ktorá osoba otvorila túto stránku, zvyčajne nie, aspoň nie z týchto záznamov. Výber zberača pred výberom otázky je spôsob, akým sieťový tím napokon prezentuje názov hostiteľa ako históriu prehliadania.
Začnite udalosťou, ktorú má audit preukázať
Napíšte otázku ako vetu s podmetom, slovesom a časom. Už len táto disciplína odhalí medzeru medzi záznamom relácie a zobrazením stránky. Záznam relácie potvrdzuje, že identita bola prijatá, na určitý interval, s pridelenou adresou podľa zaznamenanej politiky, a nedokáže potvrdiť, ktorú stránku niekto čítal, pretože nikdy nevidel požiadavku.
Označte pozorovanie skôr, než navrhnete zber. Pole pomenované podľa navštívenej lokality, ktoré v skutočnosti ukladá vyriešené meno, je budúca chyba, nie uľahčenie. Názvy polí žijú dlhšie ako ľudia, ktorí ich vybrali, preto vyberajte názvy, ktoré opisujú dôkaz, a nie záver.
Čo ktorý záznam dokáže a čo nedokáže podložiť
Štyri typy záznamov sa objavujú takmer v každom audítorskom návrhu a každý odpovedá na inú otázku. Držte ich oddelene v správe aj v reťazci, pretože ich miešanie je spôsob, akým sa obhájiteľné zistenie stane trápnym.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Čítajte posledný stĺpec rovnako pozorne ako stredný. Záznam toku opisuje adresy a porty a spätné vyhľadanie adresy nezrekonštruuje meno, ktoré použil prehliadač, pretože jedna adresa môže hostiť mnoho nesúvisiacich lokalít. Dotaz na resolver dokazuje, že otázka bola položená, nie že stránka bola zobrazená. Názov hostiteľa viditeľný počas vyjednávania TLS tiež nie je šifrovanou cestou požiadavky.
Každé z toho je skutočné pozorovanie a žiadne nie je pozorovaním, ktoré ľudia predpokladajú. Prehliadač, ktorý trvá na vlastnom šifrovanom resolveri, stojí mimo monitorovaného rozsahu a analýza nedokáže obnoviť to, čo zaznamenávanie nikdy nevidelo. Táto medzera patrí do správy ako výslovné obmedzenie, nie ako poznámka pod čiarou.
Špekulatívne vyhľadávania a odpovede z vyrovnávacej pamäte
Prehliadače riešia mená vopred, niekedy bez toho, aby čokoľvek načítali. Odpovedajú aj z vyrovnávacej pamäte bez odoslania nového dotazu na resolver, ktorý sledujete, čo znamená, že neprítomnosť dotazu nie je neprítomnosťou návštevy. Obe správania narúšajú naivnú rovnicu medzi záznamom DNS a históriou prehliadania.
DNS over HTTPS pridáva druhú hranicu: prehliadač alebo hosťovská aplikácia s vlastným resolverom sa organizačného záznamníka nikdy na nič nepýta. Presné transakcie prichádzajú iba z udalostí samotnej aplikácie alebo z proxy, ktorej zaznamenávanie výslovne podporujete. Bežný tunel HTTPS CONNECT nedáva proxy žiadny pohľad na cesty stránok vnútri. Vlastniť sieť nie je povolenie potichu vymeniť model dôvery aplikácie.
Adresa patrí relácii, nie osobe
Záznam toku s adresou z rozsahu tunela je východiskový bod, nie odpoveď. Prepojte tú adresu a časovú značku s priradením relácie aktívnym v tom momente, pretože adresa môže byť o hodinu pridelená inej relácii. Statické adresovanie je jeden spôsob, ako toto spojenie udržať, nie jediný.
Tam, kde krok prekladu spája niekoľko zariadení do jednej zdrojovej adresy pred senzorom, môže prepojenie pomenovať iba zdieľanú reláciu brány. Zdieľaný účet alebo certifikát používaný viacerými ľuďmi obmedzuje priradenie, nech vyzerajú sieťové údaje akokoľvek úplne. Oboje patrí do správy ako obmedzenia, nie ako výhrady na neskôr.
Zaznamenajte časové pásmo, zdroj hodín, miesto pozorovania a každú hranicu prekladu medzi nimi. Neprítomnosť si zaslúži rovnakú starostlivosť ako prítomnosť, pretože chýbajúci záznam môže znamenať, že záznam toku vypršal, senzor paket nikdy nevidel alebo bol záznam aplikácie vypnutý.
Navrhnite pre uvedený účel a potom preukážte reťazec
Keď je otázka pevná, definujte, ktoré polia sú potrebné, kto ich smie čítať a ako dlho sa uchovávajú. Zbieranie viac preto, že úložisko je lacné, vytvára záväzok, ktorý prežije vyšetrovanie. Model súkromia v RFC 6973 rámuje koreláciu, nesprávne priradenie a zbytočný zber ako problémy návrhu, nie ako dodatočnú myšlienku.
Chráňte mapovanie a záznamy ako jeden objekt, pretože každé samo je oveľa menej citlivé než pár. Potom overte návrh na aktivite, ktorú smiete generovať a ktorej už rozumiete, pomocou najmenšieho dotazu, na ktorom bude správa stáť. Reťazec, ktorý nedokáže reprodukovať známu udalosť, nereprodukuje ani neznámu. Referujte udalosť, ktorú dôkazy podporujú, slovami, ktoré dôkazy dovoľujú, a nechajte čitateľa, aby k väčšiemu záveru dospel sám.
Napíšte obmedzenia vedľa zistenia: čo sa prepojilo, čo sa preložilo a ktorý záznam zostal ticho. Zistenie, ktoré uvádza vlastné hranice, prejde kontrolou, ktorú sebavedomé zhrnutie neprejde. To je rozdiel medzi dôkazom a príbehom o dôkaze.