Шта VPN дневник може и шта не може да докаже о прегледању

Пре него што изаберете сакупљач дневника, одлучите који догађај ревизија треба да утврди. Питање која је VPN сесија контактирала циљну адресу разликује се од питања која је особа отворила одређену страницу. Оба захтевају различите записе, различита повезивања и различите нивое поверења. Дневник везе OpenVPN одговара на прво и не може да одговори на друго.

Именујте догађај пре избора сакупљача

Запис сесије показује прихваћени идентитет, време почетка и краја и адресу коју је сервер доделио по сопственој политици. Дневник разрешивача показује да је име упитано код тог разрешивача. Запис тока показује адресе, портове, протокол и време, а дневник апликације показује трансакцију коју је апликација стварно обрадила. Ниједан од та четири не замењује други.

Сваки од њих утврђује један догађај и оставља остале отворене. Записивање питања унапред спречава вас да саставите причу коју подаци не могу да подрже.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Прва наредба приказује догађаје сесије из дневника службе. Друга штампа тренутну листу клијената са додељеним адресама, а то је пресликавање од ког зависи повезивање при ревизији. Трећа приказује живо стање тока, корисно само док веза постоји.

Претрага није посета

Прегледач разрешава имена спекулативно, кешира одговоре и поново их користи без поновног питања надгледаног разрешивача. Име у дневнику разрешивача зато доказује претрагу, а не посету. DNS преко HTTPS проширује ту празнину, јер прегледач конфигурисан за то шаље своја питања тамо где их ваш обичан регистратор никада не види.

Циљне адресе саме по себи нису боље. Једна адреса може да угости много неповезаних сајтова, обрнути DNS је претпоставка, а не реконструкција, а име домаћина видљиво током TLS руковања није путања захтева унутар шифроване сесије.

За тачне трансакције потребни су вам сопствени записи догађаја апликације или дизајн посредника који је изричито подржан за евидентирање. CONNECT тунел даје посреднику циљ и обим, а не путање страница унутар њега. Административни приступ мрежи није лиценца да тихо замените модел поверења апликације.

Повежите идентитет и време пре него што именујете особу

Запис тока са интерном изворном адресом не значи ништа док та адреса не буде повезана са сесијом у исто време. Адресе се поново користе, а иста адреса је сат времена раније могла припадати другој сесији. Статичка додела је један начин да се веза сачува, али не једини.

Границе превода додатно слабе повезивање. Ако је неколико уређаја већ делило једну изворну адресу пре ваше тачке посматрања, најбоље што можете да идентификујете је заједничка сесија мрежног пролаза, а не један уређај. Сертификат или налог који користи више људи има исти ефекат.

Забележите временске зоне, изворе сата, тачке посматрања и сваки корак превода. Записи који недостају могу да значе да је запис тока истекао, да је сензор заобиђен или да је дневник апликације био искључен. Одсуство није доказ да се ништа није догодило.

Затим дефинишите минимална поља, дозвољене читаоце и период чувања за наведену сврху. Корелација и погрешно приписивање су питања дизајна, а не накнадна мисао, а метаподаци који идентификују људе заслужују исту заштиту као пресликавање идентитета од ког зависе.

Тестирајте ревизију активношћу коју контролишете

Генеришите дозвољен саобраћај чију сесију и апликацију већ знате, затим проверите шта је сваки запис стварно ухватио. Обавите претрагу без учитавања странице, учитајте страницу из кеша и отворите везу кроз посредник, и погледајте који се догађаји појављују.

Пријавите догађај који докази подржавају и реците шта не покривају. Скроман запис са наведеним обухватом пролази преглед; амбициозна историја прегледања састављена од претпоставки не пролази.