Uchovávanie VPN logov: viažte ich na incident, nie na číslo
Uchovávanie sa riadi incidentom, obsahom a politikou, nie univerzálnou lehotou. Nájdite každú kópiu, zastavte podrobné zbieranie a veďte krátky záznam.
Nikto sa vlastne nepýta, ako dlho uchovávať VPN log; pýtajú sa, na čo log slúži, a odpoveď na to určuje dátum. Z jedného incidentu môžu vzísť dva súbory s rôznou životnosťou, a ich poňatie ako jedinej politiky prináša zároveň nadmerné uchovávanie aj stratu dôkazov. Ladiaci export vytvorený, kým bola príčina neznáma, nie je ten istý artefakt ako riadok v monitorovacom úložisku. Začnite účelom a potom vyberte dátum.
Pred výberom dátumu odpovedzte na štyri otázky
Štyri otázky rozhodujú, či súbor zostane: je incident stále otvorený, čo súbor obsahuje, kto ho potrebuje čítať a čo vyžaduje platná politika. Odpovedzte v tomto poradí a dátum uchovávania vyplynie sám. Zdôvodnenie sa zmestí do tabuľky:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Kým je incident otvorený, držte jeden chránený originál, aby ste neskôr mohli porovnať udalosti alebo odpovedať na otázku podpory, a priraďte mu písomne vlastníka a účel. Pre kohokoľvek mimo reakčného tímu zvyčajne stačí krátky redigovaný výňatok a obhajuje sa oveľa ľahšie než plný export. Originál a výňatok sú oddelené artefakty s oddeleným publikom a práve ich zlúčenie vytvára nadmerné uchovávanie aj stratu dôkazov. Politika stanovuje spodnú hranicu, takže ak vyžaduje dlhší čas než vaše zdôvodnenie, vyhráva politika.
Uzavrite incident záznamom, nie exportom
Napíšte do tiketu záznam o štyroch riadkoch: príznak, klient a verzia, jediný chybový riadok, ktorý ho identifikoval, a oprava. Neprikladajte nič ďalšie, pretože export bol pre vás a záznam je pre ďalšieho človeka.
Záznam má aj väčšiu šancu, že bude prečítaný: plný export slúži najmä tomu, kto ho vytvoril, a ten už vie, čo sa stalo. Uchovávajte záznam tam, kde sa bude hľadať pri ďalšom incidente, čo zvyčajne znamená tiket, nie priečinok pomenovaný podľa dátumu. Číslo prípadu môže niesť odkaz, ak záznam musí byť dohľadateľný bez odhalenia identifikátora spojenia. Ak je niektorá otázka stále otvorená, originál zostáva pod pravidlom chránenej kópie vyššie; keď záznam existuje, všetko ostatné môže ísť.
Nájdite každú kópiu, kým jednu vymažete
Pozrite sa do priečinka exportu, potom do journalu pre okno incidentu, potom do príloh tiketu, potom do katalógu záloh, potom do monitorovacieho úložiska. Ak sa ten istý identifikátor spojenia objaví na piatom mieste, inventúra bola nesprávna. Journal býva obvyklým prekvapením, pretože zbieral ďalej, kým ste čítali export.
Použite podporovanú cestu rotácie a mazania namiesto ručného odpájania súborov. Súbor, ktorý je stále otvorený, si po zmiznutí položky adresára ponechá svoje úložisko, takže vymazanie vyzerá úplné a nič neuvoľní. To je chyba úložiska s nálepkou súkromia a nespĺňa ani jeden z dvoch cieľov.
Zastavte zbieranie, kým overíte vymazanie
Zastavte dočasné podrobné zbieranie prostredníctvom aplikácie, ktorá ho vlastní, nie úpravou jej výstupného súboru. Zabudnuté ladiace nastavenie ďalej zapisuje nové záznamy po odstránení starých, čo ticho ruší prácu, ktorú ste práve urobili. Skontrolujte skutočnú úroveň logovania, nie hodnotu, ktorú si pamätáte, že ste nastavili. Potom potvrďte, že to, čo zostalo, je chránené a že k nemu majú prístup len zamýšľaní ľudia.
Princípom je minimalizácia údajov: držte to, čo uvedený účel potrebuje, tak dlho, ako to potrebuje, a nič viac, ako to pokyny k súkromiu RFC 6973 formulujú. Súbor uchovávaný bez účelu je záväzok s časovou pečiatkou. Rozhodnutie je hotové, keď dokážete pomenovať súbor, jeho účel, jeho vlastníka a jeho konečný dátum.