Ku zhduket një emër përdoruesi VPN nga tubacioni i regjistrave?

Sesionet shfaqen në panel ndërsa kolona e emrit të përdoruesit mbetet bosh, dhe impulsi i parë është të fajësohet analizuesi. Ai impuls anashkalon tre faza më të hershme ku vlera mund të ketë humbur. Një portë mund të maskojë një identitet sipas politikës, një rregull futjeje mund ta fshijë atë përpara indeksimit, dhe një nxjerrje në momentin e kërkimit thjesht mund të dështojë ta emërojë atë. Rregullimi varet nga ajo se cilën kufi mund të provoni si përgjegjës, prandaj puna e dobishme është krahasimi, jo konfigurimi.

Filloni nga një ngjarje, jo nga paneli

Zgjidhni një ngjarje të vetme vërtetimi dhe shkruani çfarë e identifikon atë: modeli dhe versioni i portës, metoda e vërtetimit, identifikuesi i ngjarjes, vulë kohore dhe adresa burimore. Shtoni emrin e përdoruesit saktësisht ashtu siç e shtypi personi, përfshirë shkronjat e mëdha dhe të vogla, sepse një kërkim i ndjeshëm ndaj shkronjave mund të fshehë një fushë që ekziston. Trajtojeni atë ngjarje si referencë për çdo krahasim të mëvonshëm.

Llojet e ngjarjeve nuk ndajnë të njëjtën skemë. Një përpjekje e dështuar, një hyrje e suksesshme pa klient dhe një rilidhje tuneli mund të prodhojnë fusha të ndryshme, dhe disa porta e lënë identitetin jashtë kur përpjekja nuk arriti kurrë te vërtetimi i përdoruesit. Prandaj një kolonë bosh në një lloj ngjarjeje është provë e dobët e një problemi në tubacion.

Punoni me një identitet testimi të miratuar në vend të një llogarie reale punonjësi, dhe mbani krahasimin brenda rregullave të aksesit që tashmë rregullojnë të dhënat e regjistrave. Aktivizimi i gjerë i regjistrimit të detajuar të vërtetimit vetëm për të marrë një mostër ndryshon sistemin që po përpiqeni të matni.

Krahasoni katër kufijtë me radhë

Vlera mund të zhduket në një nga katër pikat. Secila pikë ka një pronar tjetër dhe një rregullim tjetër.

Ndaloni në kufirin e parë ku vlera zhduket. Mospërputhja midis pamjes së pajisjes dhe kopjes së papërpunuar tregon transportin ose konfigurimin e mbledhësit; përputhja atje por një vlerë që mungon në ngjarjen e indeksuar tregon një transformim; një vlerë e pranishme në ngjarjen e indeksuar por që mungon në panel tregon nxjerrjen ose pyetësorin.

Ky rend ka rëndësi sepse çdo fazë e mëvonshme mund të humbasë vetëm informacion, kurrë ta rivendosë atë. Një shprehje e rregullt nuk mund të rikuperojë një varg që një fazë e mëparshme zëvendësoi me një vendmbajtës, dhe një cilësim privatësie nuk mund të shpjegojë një vlerë që nuk u dërgua kurrë.

Maskimi në burim është politikë, jo një gabim i analizuesit

Dokumentacioni i regjistrimit ASA i Cisco përshkruan fshehjen e emrit të përdoruesit si sjellje e konfigurueshme, duke përfshirë mënyrën se si paraqiten emrat e pavlefshëm ose të panjohur. Një identitet i maskuar në ngjarjen burimore mund të jetë pra saktësisht ajo që kërkon politika e privatësisë, dhe trajtimi i tij si dështim analize çon në një kërkesë që dobëson kontrollin.

Paraqitja e saktë varet nga versioni dhe lloji i mesazhit. Një ngjarje mund të mbajë një vendmbajtës, një tjetër mund ta lërë fushën plotësisht jashtë, dhe një dështim vërtetimi mund të mos përfshijë kurrë një emër. Kontrolloni sjelljen e dokumentuar për ngjarjen specifike në vend që të aplikoni një raport të vjetër gabimi për çdo identitet që mungon.

Kur maskimi është i qëllimshëm, pyetja ndryshon nga si të rivendoset fusha në nëse kërkesa e auditimit mund të përmbushet në një mënyrë tjetër. Identifikuesit e sesionit, një hartë identitetesh e kontrolluar e mbajtur nga një grup më i vogël, ose një rrjedhë ngjarjesh e autorizuar më e ngushtë shpesh e plotësojnë nevojën pa vendosur çdo emër përdoruesi të provuar përpara çdo lexuesi të regjistrave.

Anonimizimi përpara indeksimit nuk mund të zhbëhet

Dokumentacioni i Splunk për përpunimin e ngjarjeve përshkruan anonimizimin përmes shprehjeve sed dhe transformimeve që rishkruajnë ose heqin të dhëna përpara indeksimit. Pikërisht ai vend është çështja: ngjarja e papërpunuar ndryshohet në hyrje, kështu që një nxjerrje në momentin e kërkimit nuk ka më asgjë për të gjetur.

Redaktimi në momentin e indeksimit dhe nxjerrja e fushave në momentin e kërkimit zgjidhin probleme të ndryshme. Redaktimi kufizon se kush mund ta shohë ndonjëherë vlerën; nxjerrja vendos vetëm cilin emër përdor pyetësori. Hashimi është një opsion i ndërmjetëm që ruan korrelacionin, por një hash i qëndrueshëm mbi një hapësirë të vogël emrash përdoruesish identifikon ende kur dikush mund të testojë emra kandidatë kundër tij.

Nëse ngjarja e ruajtur ende përmban identitetin, problemi është më poshtë: lloji i burimit, ndarja e rreshtave, trajtimi i ndarësve, aliaset e fushave ose vetë pyetësori. Këto janë rregullime të zakonshme analize dhe nuk prekin kufirin e privatësisë.

Zgjidhni rregullimin që përputhet me kufirin

Tre kushte vendosin përgjigjen. Së pari, a synon politika e privatësisë të përjashtojë identitetin? Së dyti, a ka nevojë procesi i auditimit ose i hetimit për identitetin, një pseudonim, ose vetëm sesionin? Së treti, në cilin kufi nevojitet vlera — mbledhja, ruajtja ose prezantimi?

Nëse politika synon përjashtimin, ndryshoni kërkesën ose prezantimin, jo kontrollin. Nëse politika e lejon identitetin por mbledhja e hedh poshtë, rregulloni mbledhësin dhe konfirmoni ngjarjen e papërpunuar. Nëse ruajtja është e paprekur, rregulloni nxjerrjen dhe testojeni kundër ngjarjes së miratuar që kapët në fillim.

Mbyllni hetimin duke emërtuar kufirin në regjistrin e ndryshimeve: i maskuar në burim, i hequr gjatë futjes, ose i humbur nga nxjerrja. Ai një fjali i thotë inxhinierit të ardhshëm ku të shikojë së pari, dhe e pengon një ankesë për panelin të kthehet në një veçori privatësie të çaktivizuar në heshtje.