Basahin ang iyong VPN log bago ito ipadala: field sa field

Binubuksan mo ang isang support ticket, ikinakabit ang diagnostic export na ginawa ng client, at naghihintay. Malamang na walang browsing history ang file, at iyon ang dahilan kung bakit mukhang ligtas ito. Ngunit naglalaman pa rin ito kung sino ka, anong makina ang ginamit, anong panloob na address ang naabot at kailan, at paminsan-minsan ay isang pribadong key na kinopya ng client na nagsusulat ng log ng configuration nito. Ang pagsusuri sa file bago ito ipadala ay tumatagal ng mga limang minuto at pumipigil sa permanenteng pagbubunyag.

Buksan ito at basahin ang unang apatnapung linya

Magsimula sa itaas, kung saan karaniwang ibinubuhos ng mga client ang bersyon, platform at configuration. Sinasabi ng mga unang linya kung gaano kadetalye ang file, at tinutukoy niyon kung gaano karami sa natitira ang kailangan mong pansinin. Ang default na log at ang debug log ay magkaibang artifact na may magkaibang pagkakalantad.

head -n 40 vpn-support.log
sed -n '1,40p' vpn-support.log | grep -nE 'version|platform|config|option'

Suriin din ang laki at hugis ng file bago basahin ang anuman dito. Ang text file na dalawang megabyte na may isang paulit-ulit na kaganapan ay madaling paikliin. Ang binary na capture sa parehong folder ay ganap na ibang problema, at nangangailangan ito ng ibang usapan sa sinumang humingi ng export.

Sa Windows ang mga katumbas ay isang cmdlet bawat isa, at ang una ay sulit na patakbuhin sa anumang file na hindi ikaw mismo ang gumawa:

Get-Content .\vpn-support.txt -TotalCount 40
Get-Item .\vpn-support.txt | Select-Object Length,LastWriteTime

Ang mga field na kumikilala sa isang tao

Lumilitaw ang mga username sa mga lugar na hindi inaasahan ng mga tao: ang account na ginagamit sa pagpapatotoo, ang subject ng certificate, ang profile path sa ilalim ng home directory, at ang pangalan ng makina na madalas na nag-encode ng tunay na pangalan. Ang log na nag-edit ng field ng account ngunit iniiwang buo ang home path ay walang na-edit.

Mas mahalaga ang consistency kaysa completeness kapag kailangang sundan ng support engineer ang isang session sa buong file. Palitan ang mga halaga ng matatag na label sa halip na burahin ang mga ito, upang ang bawat paglitaw ng parehong user ay mabasa pa rin bilang parehong user. Ang ganap na pagbura sa field ay pumuputol sa sinulid na kailangan ng engineer at hindi ginagawang mas ligtas ang file.

Ang timestamp ay personal na datos din kapag pinagsama-sama. Ang mga oras na kumonekta ang isang account, kung kukunin sa loob ng isang buwan, ay naglalarawan ng oras ng trabaho at paglalakbay. Kung hindi kailangan ng tanong ang buong hanay, gupitin ang file sa window sa paligid ng kaganapan.

Ang mga field na kumikilala sa isang network

Ang mga endpoint address, panloob na ruta at itinulak na opsyon ay naglalarawan ng hugis ng isang pribadong network. Iyon mismo ang impormasyong gustong makuha ng isang attacker, at karaniwang naroroon ito nang mas detalyado kaysa sa kailangan ng ticket.

Hanapin ang pamilya ng address na ginagamit, hindi lamang ang inaasahan mo. Ang isang dual-stack client ay maaaring mag-log ng IPv6 endpoint at isang set ng IPv6 ruta na walang naisip na i-edit dahil ang pagsusuri ay tumingin lamang sa mga naka-dot na apatan.

grep -nEo '([0-9]{1,3}\.){3}[0-9]{1,3}' vpn-support.log | sort -u | head -n 40
grep -nEo '([0-9a-fA-F]{0,4}:){2,7}[0-9a-fA-F]{0,4}' vpn-support.log | sort -u | head -n 20

Ang natatanging listahan ang punto. Sinasabi nito kung gaano karaming magkakaibang address ang binabanggit ng file, at karaniwang mas kaunti ito kaysa sa nararamdaman habang nag-i-scroll. Nagbibigay din ito sa iyo ng checklist para sa pag-edit at paraan upang patunayan na natakpan mo ang lahat. Sampung address ay limang minutong trabaho, at isang daan ay nagsasabi na ang export ay mas malawak kaysa sa tanong.

Panatilihin ang topology kung kailangan ito ng engineer. Ang pagpapalit sa pangalawa at pangatlong octet habang pinapanatili ang mga relasyon ng subnet ay sinasagot ang tanong nang hindi ipinapahayag ang hanay. Gumagana ang parehong trick para sa IPv6 prefix. Ang kailangan ng engineer ay ang hugis ng pagkasira, at ang hugis ay nananatili pagkatapos ng pare-parehong pagpapalit.

Nagtago ang mga lihim sa hugis, hindi sa label

Ang pribadong key ay hindi nangangailangan ng salitang “password” sa tabi nito. Lumilitaw ito bilang bloke sa pagitan ng mga marker line, bilang mahabang base64 string, o bilang inline na configuration dump. Lumilitaw ang mga token bilang query parameter, at lumilitaw ang mga kredensyal sa loob ng URL na literal na na-log ng client.

grep -nE 'BEGIN [A-Z ]*PRIVATE KEY|password|passwd|token|secret|psk|auth-user-pass' vpn-support.log
grep -nE 'https?://[^ ]*:[^ ]*@' vpn-support.log

Ang pangalawang pattern ang nakakalimutan ng mga tao. Ang URL na may anyong scheme, user, password, host ay isang kumpletong kredensyal, at ang mga client ay nag-log ng gayong URL sa tuwing ang isang proxy o feed ay naka-configure na may inline na pagpapatotoo.

Huwag kailanman ipadala ang orihinal na file bilang patunay na hindi mo ito na-edit. Kung igiit ng operator ang isang hindi nabagong export, itanong kung para saan ito kailangan, ipadala ito sa kanilang beripikadong support channel, at pagkatapos ay burahin ang iyong lokal na kopya. Ang kahilingang iyon ay lehitimo; ang pampublikong pag-paste ay hindi.

Buuin ang na-edit na kopya at ipadala ang sipi

Magtrabaho sa isang kopya, itago ang orihinal sa protektadong lugar, at mag-edit gamit ang na-uulit na utos sa halip na manu-mano. Ang isang pagpasa sa mga pattern ng address ay humuhuli sa halos lahat ng ito:

cp vpn-support.log vpn-support.original.log
sed -E 's/([0-9]{1,3}\.){3}[0-9]{1,3}/ADDR/g; s/[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+/USER@DOMAIN/g' \
  vpn-support.original.log > vpn-support.redacted.log
grep -cE 'PRIVATE KEY|password|token' vpn-support.redacted.log

Ang huling bilang ay dapat na zero. Kung hindi, may napalampas ang pagpasa ng pag-edit na isang hugis at dapat mong tingnan ang mga linyang iyon bago magpadala ng anuman. Basahin din ang na-edit na file nang isang beses gamit ang iyong sariling mga mata; ang script ay humuhuli ng mga pattern, hindi konteksto.

Ipadala ang pinakamaliit na sipi na nagpapakita pa rin ng pagkasira. Sapat na karaniwan ang sampung linya sa paligid ng error, at mas madali silang suriin kaysa sa file na dalawang megabyte. Pagkatapos ay itago ang pagmamapa sa pagitan ng iyong mga label at ng tunay na mga halaga sa lugar na kinokontrol mo, dahil kakailanganin ito ng susunod na tanong.

Inilalarawan ng dokumentasyon ng pag-log ng OpenVPN kung paano binabago ng mga antas ng verbosity ang naitala, na kapaki-pakinabang na konteksto sa pagpapasya kung gaano karami sa file ang talagang kailangan ng problema.