Prečítajte si denník VPN, skôr než ho odošlete: pole po poli

Otvoríte tiket podpory, priložíte diagnostický export, ktorý vytvoril klient, a čakáte. Súbor pravdepodobne neobsahuje vôbec žiadnu históriu prehliadania, a práve preto pôsobí bezpečne. Napriek tomu obsahuje, kým ste, ktorý stroj ste použili, ktoré interné adresy ste dosiahli a kedy, a občas súkromný kľúč skopírovaný klientom, ktorý zaznamenáva svoju konfiguráciu. Prejdenie súboru pred odoslaním trvá asi päť minút a zabráni trvalému odhaleniu.

Otvorte ho a prečítajte prvých štyridsať riadkov

Začnite zhora, kde klienti zvyčajne vysypú verziu, platformu a konfiguráciu. Prvé riadky hovoria, aký podrobný je súbor, a to určuje, koľko zo zvyšku vás musí zaujímať. Predvolený denník a ladiaci denník sú rôzne artefakty s rôznou expozíciou.

head -n 40 vpn-support.log
sed -n '1,40p' vpn-support.log | grep -nE 'version|platform|config|option'

Skontrolujte aj veľkosť a tvar súboru predtým, než z neho čokoľvek prečítate. Textový súbor s dvoma megabajtmi a jednou opakujúcou sa udalosťou sa ľahko oreže. Binárny záznam v tom istom priečinku je úplne iný problém a vyžaduje iný rozhovor s tým, kto export požiadal.

V systéme Windows sú ekvivalenty po jednom cmdlete a prvý stojí za spustenie na každom súbore, ktorý ste sami nevytvorili:

Get-Content .\vpn-support.txt -TotalCount 40
Get-Item .\vpn-support.txt | Select-Object Length,LastWriteTime

Polia, ktoré identifikujú osobu

Používateľské mená sa objavujú na miestach, ktoré ľudia nečakajú: účet použitý na autentifikáciu, subjekt certifikátu, cesta profilu v domovskom adresári a názov stroja, ktorý často kóduje skutočné meno. Denník, ktorý rediguje pole účtu a domovskú cestu ponechá nedotknutú, nezredigoval nič.

Konzistencia je dôležitejšia ako úplnosť, keď musí podporný technik sledovať jednu reláciu naprieč súborom. Nahraďte hodnoty stabilnými štítkami namiesto ich mazania, aby sa každý výskyt toho istého používateľa stále čítal ako ten istý používateľ. Úplné vymazanie poľa preruší vlákno, ktoré technik potrebuje, a súbor bezpečnejším neurobí.

Časová pečiatka je tiež osobné údaje v súhrne. Časy, kedy sa účet pripájal, vzaté za mesiac, opisujú pracovný čas a cestovanie. Ak otázka nepotrebuje celý rozsah, orežte súbor na okno okolo udalosti.

Polia, ktoré identifikujú sieť

Adresy koncových bodov, interné trasy a posielané možnosti opisujú tvar súkromnej siete. To je presne informácia, ktorú by útočník chcel mať, a zvyčajne je prítomná oveľa podrobnejšie, než tiket potrebuje.

Hľadajte rodinu adries, ktorá sa používa, nielen tú, ktorú ste očakávali. Klient s duálnym zásobníkom môže zaznamenať koncový bod IPv6 a množinu trás IPv6, ktoré nikoho nenapadlo redigovať, pretože kontrola hľadala len bodkované štvorice.

grep -nEo '([0-9]{1,3}\.){3}[0-9]{1,3}' vpn-support.log | sort -u | head -n 40
grep -nEo '([0-9a-fA-F]{0,4}:){2,7}[0-9a-fA-F]{0,4}' vpn-support.log | sort -u | head -n 20

Jedinečný zoznam je podstatou. Hovorí, koľko rôznych adries súbor spomína, a zvyčajne je to oveľa menej, než sa pri posúvaní zdá. Dáva vám aj kontrolný zoznam na redigovanie a spôsob, ako dokázať, že ste pokryli všetky. Desať adries je práca na päť minút a sto vám hovorí, že export je širší ako otázka.

Zachovajte topológiu, ak ju technik potrebuje. Nahradenie druhého a tretieho oktetu pri zachovaní vzťahov podsiete odpovie na otázku bez zverejnenia rozsahu. Rovnaký trik funguje pre prefixy IPv6. Technik potrebuje tvar poruchy a tvar prežije konzistentnú substitúciu.

Tajomstvá sa skrývajú v tvaroch, nie v štítkoch

Súkromný kľúč nepotrebuje slovo “password” v blízkosti. Objavuje sa ako blok medzi označovacími riadkami, ako dlhý reťazec base64 alebo ako vložený výpis konfigurácie. Tokeny sa objavujú ako parametre dopytu a prihlasovacie údaje v URL, ktoré klient zaznamenal doslova.

grep -nE 'BEGIN [A-Z ]*PRIVATE KEY|password|passwd|token|secret|psk|auth-user-pass' vpn-support.log
grep -nE 'https?://[^ ]*:[^ ]*@' vpn-support.log

Druhý vzor je ten, na ktorý ľudia zabúdajú. URL v tvare schéma, používateľ, heslo, hostiteľ je úplný prihlasovací údaj a klienti takéto URL zaznamenávajú vždy, keď je proxy alebo kanál nakonfigurovaný s vloženou autentifikáciou.

Nikdy neposielajte pôvodný súbor ako dôkaz, že ste ho neupravovali. Ak operátor trvá na nezmenenom exporte, opýtajte sa, na čo ho potrebuje, pošlite ho ich overeným podporným kanálom a potom svoju miestnu kópiu vymažte. Táto žiadosť je legitímna; verejné vloženie nie.

Vytvorte redigovanú kópiu a odošlite výňatok

Pracujte na kópii, originál uchovajte na chránenom mieste a redigujte opakovateľným príkazom, nie ručne. Jediný priechod cez vzory adries zachytí väčšinu:

cp vpn-support.log vpn-support.original.log
sed -E 's/([0-9]{1,3}\.){3}[0-9]{1,3}/ADDR/g; s/[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+/USER@DOMAIN/g' \
  vpn-support.original.log > vpn-support.redacted.log
grep -cE 'PRIVATE KEY|password|token' vpn-support.redacted.log

Konečné číslo by malo byť nula. Ak nie je, priechod redigovania minul nejaký tvar a pred odoslaním čohokoľvek by ste sa mali na tie riadky pozrieť. Prečítajte si redigovaný súbor raz aj vlastnými očami; skript zachytí vzory, nie kontext.

Odošlite najmenší výňatok, ktorý ešte ukazuje poruchu. Desať riadkov okolo chyby zvyčajne stačí a hodnotí sa oveľa ľahšie než súbor s dvoma megabajtmi. Potom uchovávajte mapovanie medzi svojimi štítkami a skutočnými hodnotami na mieste, ktoré ovládate, pretože nasledujúca otázka ho bude potrebovať.

Dokumentácia OpenVPN k protokolovaniu opisuje, ako úrovne podrobnosti menia to, čo sa zaznamenáva, čo je užitočný kontext pri rozhodovaní, koľko súboru problém skutočne vyžaduje.