ชื่อผู้ใช้ VPN หายไปจากไปป์ไลน์บันทึกที่ใด

เซสชันปรากฏบนแดชบอร์ดในขณะที่คอลัมน์ชื่อผู้ใช้ยังว่าง และปฏิกิริยาแรกคือโทษตัวแยกวิเคราะห์ ปฏิกิริยานั้นข้ามสามขั้นตอนก่อนหน้าที่ค่าอาจหายไป เกตเวย์สามารถปิดบังตัวตนตามนโยบาย กฎการนำเข้าสามารถลบมันก่อนการจัดทำดัชนี และการสกัดตอนค้นหาอาจล้มเหลวในการระบุชื่อมัน การแก้ไขขึ้นอยู่กับว่าคุณพิสูจน์ได้ว่าขอบเขตใดเป็นผู้รับผิดชอบ งานที่มีประโยชน์จึงเป็นการเปรียบเทียบ ไม่ใช่การตั้งค่า

เริ่มจากเหตุการณ์เดียว ไม่ใช่แดชบอร์ด

เลือกเหตุการณ์ยืนยันตัวตนหนึ่งเหตุการณ์แล้วจดบันทึกว่าอะไรระบุตัวมัน ได้แก่ รุ่นและเวอร์ชันของเกตเวย์ วิธีการยืนยันตัวตน ตัวระบุเหตุการณ์ เวลาที่บันทึก และที่อยู่ต้นทาง เพิ่มชื่อผู้ใช้ตามที่บุคคลนั้นพิมพ์จริง รวมถึงตัวพิมพ์ใหญ่และเล็ก เพราะการค้นหาที่แยกตัวพิมพ์อาจซ่อนฟิลด์ที่มีอยู่จริง ให้ถือเหตุการณ์นั้นเป็นค่าอ้างอิงสำหรับทุกการเปรียบเทียบในภายหลัง

ประเภทของเหตุการณ์ไม่ได้ใช้สคีมาเดียวกัน การพยายามที่ล้มเหลว การเข้าสู่ระบบสำเร็จโดยไม่มีไคลเอนต์ และการเชื่อมต่ออุโมงค์ใหม่ต่างก็สร้างฟิลด์ที่แตกต่างกัน และเกตเวย์บางรุ่นละตัวตนไว้เมื่อการพยายามไม่เคยไปถึงการยืนยันตัวตนของผู้ใช้ ดังนั้นคอลัมน์ว่างในเหตุการณ์ประเภทหนึ่งจึงเป็นหลักฐานอ่อนว่ามีปัญหาในไปป์ไลน์

ทำงานกับตัวตนสำหรับทดสอบที่ได้รับอนุมัติแทนบัญชีพนักงานจริง และเก็บการเปรียบเทียบไว้ภายในกฎการเข้าถึงที่ควบคุมข้อมูลบันทึกอยู่แล้ว การเปิดบันทึกการยืนยันตัวตนแบบละเอียดในวงกว้างเพียงเพื่อให้ได้ตัวอย่างหนึ่งชิ้นจะเปลี่ยนระบบที่คุณกำลังวัด

เปรียบเทียบสี่ขอบเขตตามลำดับ

ค่าอาจหายไปที่จุดใดจุดหนึ่งจากสี่จุด แต่ละจุดมีเจ้าของต่างกันและมีการแก้ไขต่างกัน

หยุดที่ขอบเขตแรกที่ค่าหายไป ความไม่ตรงกันระหว่างมุมมองของอุปกรณ์กับสำเนาดิบชี้ไปที่การขนส่งหรือการตั้งค่าตัวเก็บ ความตรงกันตรงนั้นแต่ค่าขาดหายในเหตุการณ์ที่จัดทำดัชนีชี้ไปที่การแปลง และค่าที่มีอยู่ในเหตุการณ์ที่จัดทำดัชนีแต่ไม่มีบนแดชบอร์ดชี้ไปที่การสกัดหรือคิวรี

ลำดับนี้สำคัญเพราะแต่ละขั้นตอนถัดไปทำได้เพียงสูญเสียข้อมูล ไม่มีทางกู้คืนได้ นิพจน์ปกติไม่สามารถกู้สตริงที่ขั้นตอนก่อนหน้าแทนที่ด้วยตัวยึดตำแหน่ง และการตั้งค่าความเป็นส่วนตัวไม่อาจอธิบายค่าที่ไม่เคยถูกส่งได้

การปิดบังที่ต้นทางเป็นนโยบาย ไม่ใช่บั๊กของตัวแยกวิเคราะห์

เอกสารการบันทึกของ ASA จาก Cisco อธิบายการซ่อนชื่อผู้ใช้ว่าเป็นพฤติกรรมที่ตั้งค่าได้ รวมถึงวิธีแสดงชื่อผู้ใช้ที่ไม่ถูกต้องหรือไม่รู้จัก ตัวตนที่ถูกปิดบังในเหตุการณ์ต้นทางจึงอาจเป็นสิ่งที่แนวนโยบายความเป็นส่วนตัวกำหนดไว้พอดี และการถือว่าเป็นความล้มเหลวในการแยกวิเคราะห์จะนำไปสู่คำขอที่ทำให้การควบคุมอ่อนแอลง

การแสดงผลที่แน่นอนขึ้นอยู่กับเวอร์ชันและชนิดของข้อความ เหตุการณ์หนึ่งอาจมีตัวยึดตำแหน่ง อีกเหตุการณ์อาจละฟิลด์นั้นทั้งหมด และความล้มเหลวในการยืนยันตัวตนอาจไม่มีชื่อเลย ตรวจสอบพฤติกรรมที่เอกสารระบุสำหรับเหตุการณ์นั้นแทนการนำรายงานบั๊กเก่าไปใช้กับทุกตัวตนที่หายไป

เมื่อการปิดบังเป็นเจตนา คำถามจะเปลี่ยนจากวิธีคืนฟิลด์เป็นว่าข้อกำหนดการตรวจสอบสามารถตอบสนองได้ด้วยวิธีอื่นหรือไม่ ตัวระบุเซสชัน แผนที่ตัวตนที่ควบคุมโดยกลุ่มเล็กกว่า หรือฟีดเหตุการณ์ที่ได้รับอนุญาตแคบกว่ามักตอบสนองความต้องการได้โดยไม่ต้องวางชื่อผู้ใช้ที่พยายามทั้งหมดไว้ต่อหน้าผู้อ่านบันทึกทุกคน

การทำให้ไม่ระบุตัวก่อนจัดทำดัชนีย้อนกลับไม่ได้

เอกสารของ Splunk เกี่ยวกับการประมวลผลเหตุการณ์อธิบายการทำให้ไม่ระบุตัวด้วยนิพจน์ sed และการแปลงที่เขียนข้อมูลใหม่หรือลบข้อมูลก่อนจัดทำดัชนี ตำแหน่งนั้นคือประเด็น เหตุการณ์ดิบถูกเปลี่ยนขณะนำเข้า การสกัดตอนค้นหาจึงไม่มีอะไรเหลือให้ค้นพบ

การปกปิดตอนจัดทำดัชนีและการสกัดฟิลด์ตอนค้นหาแก้ปัญหาต่างกัน การปกปิดจำกัดว่าใครจะเห็นค่าได้เลย ส่วนการสกัดเพียงตัดสินว่าคิวรีใช้ชื่อใด การแฮชเป็นทางเลือกตรงกลางที่รักษาความสัมพันธ์ไว้ แต่แฮชที่คงที่บนพื้นที่ชื่อผู้ใช้เล็ก ๆ ยังคงระบุตัวได้เมื่อมีคนทดสอบชื่อที่เป็นไปได้กับมัน

หากเหตุการณ์ที่จัดเก็บยังมีตัวตนอยู่ ปัญหาอยู่ปลายทาง ได้แก่ ชนิดต้นทาง การแบ่งบรรทัด การจัดการตัวคั่น นามแฝงของฟิลด์ หรือตัวคิวรีเอง สิ่งเหล่านี้เป็นการซ่อมการแยกวิเคราะห์ตามปกติและไม่แตะขอบเขตความเป็นส่วนตัว

เลือกการแก้ไขที่ตรงกับขอบเขต

สามเงื่อนไขตัดสินการตอบสนอง ข้อแรก นโยบายความเป็นส่วนตัวตั้งใจจะยกเว้นตัวตนหรือไม่ ข้อสอง กระบวนการตรวจสอบหรือสืบสวนต้องการตัวตน นามแฝง หรือเพียงเซสชัน ข้อสาม ต้องการค่าในขอบเขตใด ได้แก่ การเก็บ การจัดเก็บ หรือการนำเสนอ

หากนโยบายตั้งใจจะยกเว้น ให้เปลี่ยนข้อกำหนดหรือการนำเสนอ ไม่ใช่การควบคุม หากนโยบายอนุญาตตัวตนแต่การเก็บทำตกหล่น ให้ซ่อมตัวเก็บและยืนยันเหตุการณ์ดิบ หากการจัดเก็บยังสมบูรณ์ ให้ซ่อมการสกัดและทดสอบกับเหตุการณ์ที่ได้รับอนุมัติซึ่งคุณบันทึกไว้ตอนเริ่มต้น

ปิดการสืบสวนด้วยการระบุขอบเขตในบันทึกการเปลี่ยนแปลง ถูกปิดบังที่ต้นทาง ถูกลบระหว่างการนำเข้า หรือถูกการสกัดมองข้าม ประโยคเดียวนั้นบอกวิศวกรคนถัดไปว่าควรมองที่ใดก่อน และป้องกันไม่ให้ข้อร้องเรียนเรื่องแดชบอร์ดกลายเป็นคุณสมบัติความเป็นส่วนตัวที่ถูกปิดอย่างเงียบ ๆ