Maaari bang ipakita ng log ng VPN ang history ng pag-browse? Ano ang pinapatunayan ng ebidensya
Ang log ng session, query ng resolver at record ng flow ay nagpapatunay ng magkaibang bagay. Piliin ang tanong, pagsamahin ang pagkakakilanlan at oras, at sabihin lamang ang naipakita.
Dalawang tanong sa audit ang magkatulad pakinggan at nangangailangan ng magkaibang uri ng ebidensya. Kung aling session ang kumontak sa address na ito ay masasagot mula sa mga record ng koneksyon at flow. Kung aling tao ang nagbukas ng pahinang ito ay karaniwang hindi, hindi bababa sa mga record na iyon. Ang pagpili ng kolektor bago piliin ang tanong ay ang paraan kung paano nagtatapos ang isang pangkat ng network sa pagharap ng pangalan ng host bilang history ng pag-browse.
Magsimula sa pangyayaring dapat patunayan ng audit
Isulat ang tanong bilang pangungusap na may simuno, pandiwa at oras. Ang disiplinang iyon lamang ay naglalantad ng agwat sa pagitan ng record ng session at ng pagtingin sa pahina. Ang log ng session ay nagpapatunay na may pagkakakilanlang tinanggap, para sa isang saklaw ng oras, kasama ang address na itinalaga sa ilalim ng naitalang patakaran, at hindi nito mapatunayan kung aling pahina ang binasa ng sinuman dahil hindi nito kailanman nakita ang kahilingan.
Lagyan ng label ang obserbasyon bago idisenyo ang pagkolekta. Ang field na pinangalanan sa isang binisitang site ngunit talagang nag-iimbak ng naresolbang pangalan ay isang pagkakamali sa hinaharap, hindi isang kaginhawahan. Ang mga pangalan ng field ay nabubuhay nang mas matagal kaysa sa mga taong pumili sa kanila, kaya pumili ng mga pangalan na naglalarawan sa ebidensya at hindi sa konklusyon.
Ano ang kayang suportahan ng bawat record at ano ang hindi
Apat na uri ng record ang lumilitaw sa halos lahat ng disenyo ng audit, at bawat isa ay sumasagot sa ibang tanong. Panatilihin silang hiwalay sa ulat at gayundin sa pipeline, dahil ang paghahalo sa kanila ay ang paraan kung paano nagiging nakakahiya ang isang maipagtatanggol na natuklasan.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Basahin ang huling hanay nang kasing-ingat ng gitnang hanay. Ang record ng flow ay naglalarawan ng mga address at port, at ang baligtad na paghahanap ng isang address ay hindi muling binubuo ang pangalang ginamit ng browser, dahil ang isang address ay maaaring mag-host ng maraming walang kaugnayang site. Ang query ng resolver ay nagpapatunay na may itinanong, hindi na may ipinakitang pahina. Ang pangalan ng host na nakikita sa panahon ng pakikipag-usap sa TLS ay hindi rin ang naka-encrypt na landas ng kahilingan.
Ang bawat isa sa mga ito ay tunay na obserbasyon, at wala sa kanila ang obserbasyong inaakala ng mga tao. Ang browser na pinipilit ang sariling naka-encrypt na resolver ay nasa labas ng sinusubaybayang saklaw, at hindi maibabalik ng pagsusuri ang hindi kailanman nakita ng pag-log. Ang agwat na iyon ay nararapat sa ulat bilang isang nakasaad na limitasyon, hindi bilang talababa.
Mga pasapantahang paghahanap at mga sagot mula sa cache
Ang mga browser ay nagre-resolba ng mga pangalan nang maaga, kung minsan nang walang iniloload. Sumasagot din sila mula sa cache nang hindi nagpapadala ng bagong query sa resolver na iyong binabantayan, na nangangahulugang ang kawalan ng query ay hindi kawalan ng pagbisita. Ang dalawang pag-uugaling ito ay sumisira sa simpleng ekwasyon sa pagitan ng log ng DNS at history ng pag-browse.
Ang DNS over HTTPS ay nagdaragdag ng ikalawang hangganan: ang browser o guest na aplikasyon na may sariling resolver ay hindi kailanman nagtatanong sa logger ng organisasyon ng anuman. Ang mga eksaktong transaksyon ay nagmumula lamang sa mga pangyayari ng aplikasyon mismo o sa isang proxy na ang pag-log ay hayagang sinusuportahan mo. Ang ordinaryong HTTPS CONNECT tunnel ay hindi nagbibigay sa proxy ng anumang pananaw sa mga landas ng pahina sa loob. Ang pagmamay-ari ng network ay hindi pahintulot na tahimik na palitan ang modelo ng pagtitiwala ng aplikasyon.
Ang address ay pag-aari ng session, hindi ng tao
Ang record ng flow na may address mula sa saklaw ng tunnel ay panimulang punto, hindi sagot. Pagsamahin ang address at timestamp na iyon sa pagtatalaga ng session na aktibo sa sandaling iyon, dahil ang address na iyon ay maaaring italaga sa ibang session makalipas ang isang oras. Ang static na pagtatalaga ng address ay isang paraan upang mapanatili ang ugnayang iyon, hindi lamang ang paraan.
Kung saan pinagsasama ng hakbang ng pagsasalin ang ilang device sa isang address ng pinagmulan sa itaas ng sensor, ang pagsasama ay maaari lamang pangalanan ang ibinahaging session ng gateway. Ang ibinahaging account o sertipiko na ginagamit ng ilang tao ay naglilimita sa pag-attribute gaano man kumpleto ang datos ng network. Pareho silang nararapat sa ulat bilang mga limitasyon, hindi bilang mga paalala para mamaya.
Itala ang time zone, pinagmulan ng orasan, punto ng obserbasyon at bawat hangganan ng pagsasalin sa pagitan. Ang kawalan ay karapat-dapat sa parehong pag-iingat tulad ng presensya, dahil ang nawawalang record ay maaaring mangahulugan na ang entry ng flow ay nag-expire, hindi kailanman nakita ng sensor ang packet o naka-off ang log ng aplikasyon.
Idisenyo para sa nakasaad na layunin, pagkatapos patunayan ang pipeline
Kapag naayos na ang tanong, tukuyin kung aling mga field ang kailangan, sino ang maaaring magbasa sa kanila, at gaano katagal sila itinatago. Ang pagkolekta ng mas marami dahil mura ang imbakan ay lumilikha ng pananagutang mas matagal kaysa sa imbestigasyon. Ang modelo ng privacy sa RFC 6973 ay itinuturing ang ugnayan, maling pag-attribute at hindi kinakailangang pagkolekta bilang mga problema sa disenyo, hindi bilang huling-isip.
Protektahan ang pagmamapa at ang mga record bilang isang bagay, dahil ang bawat isa nang mag-isa ay mas mababa ang pagkasensitibo kaysa sa pares. Pagkatapos, i-validate ang disenyo laban sa aktibidad na pinapayagan kang likhain at nauunawaan mo na, gamit ang pinakamaliit na query na aasahan ng ulat. Ang pipeline na hindi makalikha muli ng kilalang pangyayari ay hindi rin makalilikha muli ng hindi kilala. Iulat ang pangyayaring sinusuportahan ng ebidensya, sa mga salitang pinapayagan ng ebidensya, at hayaang maabot ng mambabasa ang mas malaking konklusyon nang mag-isa.
Isulat ang mga limitasyon sa tabi ng natuklasan: ano ang pinagsama, ano ang isinalin at aling log ang nanatiling tahimik. Ang natuklasang nagsasaad ng sariling hangganan ay nakakayanan ang isang pagsusuring hindi kayang kayanin ng isang tiwala na buod. Iyon ang pagkakaiba ng ebidensya at ng kuwento tungkol sa ebidensya.