Избор HTTP доказа: записи мрежног пролаза или дневници апликације

Праћење веба почиње циљем, а не тачком снимања. Бројање активних клијената, мерење времена API позива и читање тела порука свако тражи другачије доказе и другачије одлуке о приватности. Пролаз који прослеђује заштићени HTTPS види везе, а не садржај странице. Избор погрешног слоја даје податке који изгледају богато и не одговарају ни на шта.

Именујте питање пре извора података

Почните од оперативне одлуке коју подаци морају да подрже. Питања доступности траже бројања и времена, питања захтева траже путање и статусне кодове, а питања садржаја траже тела порука. Сваки корак унутра додаје осетљивост и инжењерску сложеност. Нека власник услуге и власник безбедности одобре публику, циљ и поступање пре почетка прикупљања, јер управљање тунелом није та одлука.

Напишите питање у једној реченици и држите га поред плана прикупљања. То је једина поуздана контрола обима.

Шта пролаз може и шта не може да покаже

Пролаз који прослеђује исправно заштићени HTTPS обично види адресе, портове и обиме, а не редове захтева или тела.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

conntrack листа приказује токове и преводе, а кратко снимање приказује пакете без читљивог садржаја апликације. То је довољно да се одговори да ли саобраћај тече, колико и између којих крајњих тачака. То није листа URL-ова, а обичан CONNECT прокси прослеђује шифровану размену без завршавања TLS-а апликације. Када неко обећава путање захтева са те позиције, питајте која компонента дешифрује и под чијим поверењем.

Дневници апликације одговарају на већину питања о захтевима

За апликацију којом управљате, њено сопствено подржано евидентирање обично одговара на питање на нивоу захтева без дешифровање веза других.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Захтев за здравствено стање мери доступност са позиције клијента, а дневник приступа бележи поља која је сервер већ изабрао да чува. Изаберите поља која су задатку потребна и оставите остатак напољу, јер и URL може носити осетљиве параметре. Линија дневника је доказ о тој услуги, а не о свакој другој услуги до које је корисник стигао кроз тунел. Уско прикупљање држи малим и питање чувања, зато поставите прозор краћи од мисаоног експеримента који је створио захтев.

Пресретање је посебан дизајн поверења

Ако је преглед на нивоу поруке заиста потребан, TLS пресретање ствара нову поуздану крајњу тачку и клијентски договор поверења који мора да се дистрибуира и одржава. Апликације које закаче сертификате ће се сломити, а оператер сада држи приватне кључеве чија је заштита важна колико и сваки серверски кључ. Натерати прикупљање да ради слабљењем провере сертификата или крпењем апликације која закачи своје сертификате мења безбедносну контролу за линију дневника. Радије изаберите документован дизајн прегледа чије се дистрибуција поверења већ управља, и држите приватни кључ органа изван свега дељеног.

На крају прозора прикупљања уклоните конфигурацију и њен материјал поверења преко њихових власника и одложите задржане доказе према договореној политици. Довољно поузданих информација за наведени циљ је критеријум успеха, а не највеће могуће снимање.