Bevarande av VPN-loggar: bind det till incidenten, inte till en siffra
Bevarande följer incidenten, innehållet och policyn, inte en universell frist. Hitta varje kopia, stoppa den detaljerade insamlingen och för en kort anteckning.
Ingen frågar egentligen hur länge en VPN-logg ska bevaras; de frågar vad loggen är till för, och svaret på det sätter datumet. Två filer kan komma ut av en och samma incident med olika livslängd, och att behandla dem som en enda policy ger både överbevarande och förlorade bevis. En felsökningssexport som fångades medan orsaken var okänd är inte samma artefakt som en rad i ett övervakningslager. Börja med syftet och välj sedan datumet.
Svara på fyra frågor innan du väljer ett datum
Fyra frågor avgör om en fil blir kvar: är incidenten fortfarande öppen, vad innehåller filen, vem behöver läsa den, och vad kräver den tillämpliga policyn. Svara i den ordningen och bevarandedatumet följer. Resonemanget ryms i en tabell:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Medan incidenten är öppen, behåll en skyddad originalfil så att du senare kan jämföra händelser eller svara på en supportfråga, och ge den en ägare och ett syfte skriftligt. För alla utanför insatsteamet räcker oftast ett kort redigerat utdrag, och det är mycket lättare att försvara än den fullständiga exporten. Originalet och utdraget är separata artefakter med separata målgrupper, och det är sammanslagningen av dem som skapar både överbevarande och förlorade bevis. Policyn sätter en nedre gräns, så om den kräver längre tid än ditt resonemang vinner policyn.
Avsluta incidenten med en anteckning, inte med en export
Skriv en anteckning på fyra rader i ärendet: symtomet, klienten och versionen, den enda felrad som identifierade det, och åtgärden. Bifoga inget annat, för exporten var för dig och anteckningen är för nästa person.
Anteckningen är också mer sannolikt läst: den fullständiga exporten tjänar mest den som fångade den, och den personen vet redan vad som hände. Förvara anteckningen där nästa incident kommer att sökas, vilket oftast betyder ärendet och inte en mapp uppkallad efter ett datum. Ett ärendenummer kan bära referensen om anteckningen måste vara spårbar utan att avslöja en anslutningsidentifierare. Om en fråga fortfarande är öppen stannar originalet under regeln om skyddad kopia ovan; när anteckningen finns kan allt annat gå.
Hitta varje kopia innan du raderar en
Titta i exportmappen, sedan i journalen för incidentfönstret, sedan i ärendets bilagor, sedan i säkerhetskopiekatalogen, sedan i övervakningslagret. Om samma anslutningsidentifierare dyker upp på en femte plats var inventeringen fel. Journalen är den vanliga överraskningen, eftersom den fortsatte att samla in medan du läste exporten.
Använd den stödda rotations- och raderingsvägen i stället för att koppla loss filer för hand. En fil som fortfarande är öppen behåller sin lagring efter att katalogposten försvinner, så raderingen ser fullständig ut och frigör ingenting. Det är ett lagringsfel med sekretessetikett, och det uppfyller inget av de två målen.
Stoppa insamlingen innan du verifierar raderingen
Stoppa den tillfälliga detaljerade insamlingen genom programmet som äger den, inte genom att redigera dess utdatafil. En glömd felsökningsinställning fortsätter att skriva nya poster efter att de gamla tagits bort, vilket tyst gör om arbetet du just gjorde. Kontrollera den faktiska loggnivån i stället för värdet du minns att du satte. Bekräfta sedan att det som återstår är skyddat och att bara de avsedda personerna kan hämta det.
Principen är dataminimering: behåll det ett angivet syfte behöver, så länge det behövs, och inget mer, som integritetsriktlinjerna RFC 6973 formulerar det. En fil som förvaras utan syfte är en förpliktelse med tidsstämpel. Beslutet är klart när du kan namnge filen, syftet, ägaren och slutdatumet.