Pagpili ng ebidensiyang HTTP: mga tala ng gateway o mga log ng app

Nagsisimula ang pagmamanman sa web sa isang layunin, hindi sa isang punto ng pagkuha. Ang pagbilang ng aktibong kliyente, pagsukat ng oras ng tawag sa API at pagbasa ng katawan ng mensahe ay bawat isa ay nangangailangan ng ibang ebidensiya at ibang desisyon sa pagkapribado. Ang gateway na nagpapasa ng protektadong HTTPS ay nakikita ang mga koneksiyon sa halip na nilalaman ng pahina. Ang pagpili ng maling sapin ay nagbubunga ng datos na mukhang mayaman at walang sinasagot.

Pangalanan ang tanong bago ang pinagmulan ng datos

Magsimula sa desisyong pang-operasyon na dapat suportahan ng datos. Ang mga tanong sa pagiging available ay nangangailangan ng bilang at oras, ang mga tanong sa kahilingan ay nangangailangan ng landas at code ng estado, at ang mga tanong sa nilalaman ay nangangailangan ng katawan ng mensahe. Ang bawat hakbang papasok ay nagdadagdag ng pagkasensitibo at kumplikadong inhinyero. Ipaaprubahan sa may-ari ng serbisyo at may-ari ng seguridad ang madla, layunin at paghawak bago magsimula ang pagkolekta, dahil ang pagpapatakbo ng tunel ay hindi ang desisyong iyon.

Isulat ang tanong sa isang pangungusap at itago ito sa tabi ng plano sa pagkolekta. Iyon lamang ang mapagkakatiwalaang kontrol sa saklaw.

Ano ang maipapakita ng gateway at ano ang hindi

Ang gateway na nagpapasa ng wastong protektadong HTTPS ay karaniwang nakikita ang mga address, port at dami, hindi ang mga linya ng kahilingan o katawan.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

Ipinapakita ng listahan ng conntrack ang mga daloy at salin, at ipinapakita ng maikling pagkuha ang mga packet na walang nababasang nilalaman ng app. Sapat ito upang sagutin kung dumadaloy ang trapiko, gaano karami, at sa pagitan ng aling mga dulo. Hindi ito listahan ng URL, at ang karaniwang proxy ng CONNECT ay nagpapasa ng naka-encrypt na palitan nang hindi tinatapos ang TLS ng app. Kapag may nangako ng mga landas ng kahilingan mula sa posisyong iyon, itanong kung aling bahagi ang nagde-decrypt at sa ilalim ng tiwala ng kanino.

Sinasagot ng mga log ng app ang karamihan sa mga tanong sa kahilingan

Para sa app na pinapatakbo mo, ang sarili nitong sinusuportahang pag-log ay karaniwang sumasagot sa tanong sa antas ng kahilingan nang hindi nagde-decrypt ng mga koneksiyon ng iba.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Ang kahilingan sa kalusugan ay sumusukat ng pagiging available mula sa posisyon ng kliyente, at itinatala ng log ng pag-access ang mga field na pinili nang itago ng server. Piliin ang mga field na kailangan ng gawain at iwanan ang iba sa labas, dahil maging ang URL ay maaaring magdala ng sensitibong parametro. Ang isang linya ng log ay ebidensiya tungkol sa serbisyong iyon, hindi tungkol sa bawat ibang serbisyong naabot ng gumagamit sa pamamagitan ng tunel. Ang pagpapanatiling makitid ng pagkolekta ay nagpapanatili ring maliit ng tanong sa pagtago, kaya magtakda ng bintanang mas maikli kaysa sa eksperimento sa isip na lumikha ng pangangailangan.

Ang interbensiyon ay isang hiwalay na disenyo ng tiwala

Kung tunay na kailangan ang inspeksiyon sa antas ng mensahe, ang interbensiyon ng TLS ay lumilikha ng bagong pinagkakatiwalaang dulo at kasunduan sa tiwala ng kliyente na dapat ipamahagi at panatilihin. Masisira ang mga app na nagpi-pin ng sertipiko, at may hawak na ngayon ang operator ng mga pribadong susi na ang proteksiyon ay kasinghalaga ng alinmang susi ng server. Ang pagpapagana ng pagkolekta sa pamamagitan ng pagpapahina ng balidasyon ng sertipiko, o ng pag-patch ng app na nagpi-pin ng sarili nitong mga sertipiko, ay nagpapalit ng kontrol sa seguridad para sa isang linya ng log. Piliin ang dokumentadong disenyo ng inspeksiyon na ang pamamahagi ng tiwala ay pinamamahalaan na, at itago ang pribadong susi ng awtoridad sa labas ng anumang ibinabahagi.

Sa dulo ng bintana ng pagkolekta, alisin ang konfigurasyon at ang materyal nitong tiwala sa pamamagitan ng kanilang mga may-ari, at itapon ang mga itinagong ebidensiya alinsunod sa napagkasunduang patakaran. Ang sapat na mapagkakatiwalaang impormasyon para sa nakasaad na layunin ang pamantayan ng tagumpay, hindi ang pinakamalaking posibleng pagkuha.