Kde sa stráca používateľské meno VPN z pipeline protokolov?
Pred zmenou nastavenia súkromia protokolov porovnajte udalosť brány, surovú kópiu zberača, indexovanú udalosť a pole pri vyhľadávaní.
Relácie sa zobrazujú na paneli, zatiaľ čo stĺpec s používateľským menom zostáva prázdny, a prvým impulzom je obviňovať parser. Ten impulz preskakuje tri skoršie fázy, v ktorých sa hodnota mohla stratiť. Brána môže maskovať identitu podľa zásad, pravidlo príjmu ju môže vymazať pred indexovaním a extrakcia pri vyhľadávaní ju jednoducho nemusí pomenovať. Oprava závisí od toho, ktorú hranicu dokážete preukázať ako zodpovednú, takže užitočná práca je porovnávanie, nie konfigurácia.
Začnite pri jednej udalosti, nie pri paneli
Vyberte jednu udalosť overenia a zapíšte, čo ju identifikuje: model a verziu brány, metódu overenia, identifikátor udalosti, časovú pečiatku a zdrojovú adresu. Pridajte používateľské meno presne tak, ako ho človek napísal, vrátane veľkých a malých písmen, pretože vyhľadávanie citlivé na veľkosť písmen môže skryť pole, ktoré existuje. Berte túto udalosť ako referenciu pre každé ďalšie porovnanie.
Typy udalostí nezdieľajú rovnakú schému. Neúspešný pokus, úspešné prihlásenie bez klienta a opätovné pripojenie tunela môžu dávať rôzne polia a niektoré brány identitu vynechávajú, keď sa pokus nikdy nedostal k overeniu používateľa. Prázdny stĺpec pri jednom type udalosti je preto slabým dôkazom problému v pipeline.
Pracujte so schválenou testovacou identitou namiesto skutočného účtu zamestnanca a držte porovnanie v medziach prístupových pravidiel, ktoré už upravujú údaje protokolov. Široké zapnutie podrobného protokolovania overovania len kvôli vzorke mení systém, ktorý sa snažíte merať.
Porovnajte štyri hranice po poriadku
Hodnota môže zmiznúť v jednom zo štyroch bodov. Každý bod má iného vlastníka a inú opravu.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Zastavte sa pri prvej hranici, kde hodnota mizne. Nesúlad medzi pohľadom zariadenia a surovou kópiou ukazuje na prenos alebo konfiguráciu zberača; zhoda tam, ale chýbajúca hodnota v indexovanej udalosti ukazuje na transformáciu; hodnota prítomná v indexovanej udalosti, ale chýbajúca na paneli, ukazuje na extrakciu alebo dopyt.
Toto poradie je dôležité, pretože každá ďalšia fáza môže len strácať informácie a nikdy ich neobnoví. Regulárny výraz nemôže vrátiť reťazec, ktorý skoršia fáza nahradila zástupným znakom, a nastavenie súkromia nemôže vysvetliť hodnotu, ktorá nebola nikdy odoslaná.
Maskovanie pri zdroji je zásada, nie chyba parsera
Dokumentácia k protokolovaniu ASA od Cisco opisuje skrývanie používateľského mena ako konfigurovateľné správanie, vrátane toho, ako sa zobrazujú neplatné alebo neznáme používateľské mená. Maskovaná identita v zdrojovej udalosti tak môže byť presne to, čo zásady súkromia vyžadujú, a jej poňatie ako chyby parsovania vedie k požiadavke, ktorá kontrolu oslabuje.
Presná podoba závisí od verzie a typu správy. Jedna udalosť môže niesť zástupný znak, iná môže pole úplne vynechať a zlyhanie overenia nemusí nikdy obsahovať meno. Overte dokumentované správanie pre konkrétnu udalosť, namiesto toho, aby ste na každú chýbajúcu identitu aplikovali starú správu o chybe.
Keď je maskovanie zámerné, otázka sa mení z toho, ako pole obnoviť, na to, či sa požiadavka auditu dá splniť inak. Identifikátory relácie, riadené mapovanie identít držané menšou skupinou alebo užší autorizovaný tok udalostí často potrebu splnia bez toho, aby každé skúšané používateľské meno vystavili každému čitateľovi protokolov.
Anonymizáciu pred indexovaním nie je možné vrátiť
Dokumentácia Splunku k spracovaniu udalostí opisuje anonymizáciu pomocou výrazov sed a transformácií, ktoré prepisujú alebo odstraňujú údaje pred indexovaním. Práve to umiestnenie je podstatné: surová udalosť sa mení na vstupe, takže extrakcia pri vyhľadávaní nemá čo nájsť.
Redakcia pri indexovaní a extrakcia polí pri vyhľadávaní riešia rôzne problémy. Redakcia obmedzuje, kto hodnotu vôbec môže vidieť; extrakcia len rozhoduje, ktoré meno dopyt použije. Hašovanie je stredná možnosť, ktorá zachováva koreláciu, ale stabilný haš nad malým priestorom používateľských mien stále identifikuje, keď proti nemu niekto môže testovať kandidátske mená.
Ak uložená udalosť stále obsahuje identitu, problém je nižšie: typ zdroja, delenie riadkov, spracovanie oddeľovačov, aliasy polí alebo samotný dopyt. To sú bežné opravy parsovania a nedotýkajú sa hranice súkromia.
Vyberte opravu, ktorá zodpovedá hranici
Odpoveď určujú tri podmienky. Po prvé, chce zásada súkromia identitu vylúčiť? Po druhé, potrebuje proces auditu alebo vyšetrovania identitu, pseudonym alebo len reláciu? Po tretie, na ktorej hranici je hodnota potrebná — zber, uloženie alebo prezentácia?
Ak zásada chce vylúčenie, zmeňte požiadavku alebo prezentáciu, nie kontrolu. Ak zásada identitu povoľuje, ale zber ju stráca, opravte zberač a potvrďte surovú udalosť. Ak je uloženie neporušené, opravte extrakciu a otestujte ju proti schválenej udalosti, ktorú ste zachytili na začiatku.
Vyšetrovanie uzavrite pomenovaním hranice v zázname o zmene: maskované pri zdroji, odstránené pri príjme alebo vynechané extrakciou. Tá jediná veta povie ďalšiemu inžinierovi, kam sa pozrieť najskôr, a zabráni tomu, aby sa sťažnosť na panel zmenila na ticho vypnutú funkciu súkromia.