Hramba dnevnikov VPN: vežite jo na incident, ne na številko
Hramba sledi incidentu, vsebini in politiki, ne univerzalnemu roku. Poiščite vsako kopijo, ustavite podrobno zbiranje in vodite kratek zapis.
Nihče v resnici ne vpraša, kako dolgo hraniti dnevnik VPN; vprašajo, čemu je dnevnik namenjen, in odgovor na to določi datum. Iz enega incidenta lahko nastaneta dve datoteki z različno življenjsko dobo, in obravnavanje obeh kot ene politike ustvari hkrati prekomerno hrambo in izgubo dokazov. Izvoz za odpravljanje napak, zajet, ko je bil vzrok še neznan, ni isti artefakt kot vrstica v shrambi za nadzor. Začnite z namenom in nato izberite datum.
Pred izbiro datuma odgovorite na štiri vprašanja
Štiri vprašanja odločijo, ali datoteka ostane: ali je incident še odprt, kaj datoteka vsebuje, kdo jo mora prebrati in kaj zahteva veljavna politika. Odgovorite v tem vrstnem redu in datum hrambe sledi sam. Utemeljitev se prilega v preglednico:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Dokler je incident odprt, hranite en zaščiten izvirnik, da boste lahko pozneje primerjali dogodke ali odgovorili na vprašanje podpore, in mu pisno dodelite lastnika in namen. Za vsakogar zunaj odzivne ekipe običajno zadošča kratek redigiran izvleček in veliko lažje ga je braniti kot celoten izvoz. Izvirnik in izvleček sta ločena artefakta z ločenim občinstvom, in prav njuno združevanje ustvarja prekomerno hrambo in izgubo dokazov. Politika postavlja spodnjo mejo, zato če zahteva daljši čas od vaše utemeljitve, zmaga politika.
Incident zaključite z zapisom, ne z izvozom
V ticket vpišite zapis s štirimi vrsticami: simptom, odjemalec in različica, edina vrstica napake, ki ga je prepoznala, in popravek. Ne priložite ničesar drugega, ker je bil izvoz za vas, zapis pa je za naslednjo osebo.
Zapis bo tudi bolj verjetno prebran: celoten izvoz služi predvsem tistemu, ki ga je zajel, in ta oseba že ve, kaj se je zgodilo. Zapis hranite tam, kjer bo iskan naslednji incident, kar običajno pomeni ticket in ne mape, poimenovane po datumu. Številka primera lahko nosi sklic, če mora biti zapis sledljiv brez razkritja identifikatorja povezave. Če je katero vprašanje še odprto, izvirnik ostane po zgoraj navedenem pravilu zaščitene kopije; ko zapis obstaja, lahko vse ostalo gre.
Poiščite vsako kopijo, preden eno izbrišete
Poglejte v mapo izvoza, nato v dnevnik za okno incidenta, nato v priloge ticketa, nato v katalog varnostnih kopij, nato v shrambo za nadzor. Če se isti identifikator povezave pojavi na petem mestu, je bil popis napačen. Dnevnik je običajno presenečenje, ker je še naprej zbiral, medtem ko ste brali izvoz.
Uporabite podprto pot rotacije in brisanja namesto ročnega odklopa datotek. Datoteka, ki je še odprta, obdrži svoj prostor po izginotju vnosa v imeniku, zato je brisanje videti popolno in ničesar ne sprosti. To je napaka shrambe z oznako zasebnosti in ne izpolni nobenega od obeh ciljev.
Ustavite zbiranje, preden preverite brisanje
Ustavite začasno podrobno zbiranje prek aplikacije, ki ga ima v lasti, ne z urejanjem njene izhodne datoteke. Pozabljena nastavitev za odpravljanje napak še naprej piše nove zapise po odstranitvi starih, kar tiho razveljavi pravkar opravljeno delo. Preverite dejansko raven beleženja in ne vrednosti, ki se je spomnite, da ste jo nastavili. Nato potrdite, da je preostalo zaščiteno in da ga lahko pridobijo le predvidene osebe.
Načelo je zmanjševanje podatkov: hranite tisto, kar potrebuje navedeni namen, toliko časa, kolikor je potrebno, in nič več, kot to smernice o zasebnosti RFC 6973 oblikujejo. Datoteka, shranjena brez namena, je obveznost s časovnim žigom. Odločitev je končana, ko lahko poimenujete datoteko, njen namen, lastnika in končni datum.