Pagpapanatili ng mga log ng VPN: iugnay ito sa insidente, hindi sa isang bilang
Ang pagpapanatili ay sumusunod sa insidente, nilalaman at patakaran, hindi sa pangkalahatang takdang panahon. Hanapin ang bawat kopya, ihinto ang detalyadong pagkolekta at panatilihin ang maikling tala.
Wala talagang nagtatanong kung gaano katagal panatilihin ang isang log ng VPN; nagtatanong sila kung para saan ang log, at ang sagot doon ang nagtatakda ng petsa. Maaaring dalawang file ang lumabas sa isang insidente na may magkaibang habang-buhay, at ang pagtrato sa kanila bilang isang patakaran ay gumagawa ng labis na pagpapanatili at pagkawala ng ebidensya nang sabay. Ang isang debug na export na nakuha habang hindi pa alam ang dahilan ay hindi ang parehong artifact sa isang linya sa isang imbakan ng pagsubaybay. Magsimula sa layunin, pagkatapos ay piliin ang petsa.
Sagutin ang apat na tanong bago pumili ng petsa
Apat na tanong ang nagpapasya kung mananatili ang isang file: bukas pa ba ang insidente, ano ang laman ng file, sino ang kailangang magbasa nito, at ano ang hinihingi ng naaangkop na patakaran. Sagutin sa ganoong pagkakasunod-sunod at ang petsa ng pagpapanatili ay kusang lalabas. Kasya ang pangangatwiran sa isang talahanayan:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Habang bukas ang insidente, panatilihin ang isang protektadong orihinal upang maya-maya ay maihambing mo ang mga pangyayari o masagot ang isang tanong ng suporta, at bigyan ito ng may-ari at layunin sa nakasulat na anyo. Para sa sinumang nasa labas ng pangkat ng pagtugon, karaniwang sapat na ang isang maikling na-edit na sipi, at mas madaling ipagtanggol kaysa sa buong export. Ang orihinal at ang sipi ay magkahiwalay na artifact na may magkahiwalay na madla, at ang pagsasama ng mga ito ang gumagawa ng labis na pagpapanatili at pagkawala ng ebidensya. Ang patakaran ay nagtatakda ng pinakamababang hangganan, kaya kung humihingi ito ng mas mahabang panahon kaysa sa iyong pangangatwiran, ang patakaran ang mananaig.
Isara ang insidente sa isang tala, hindi sa isang export
Sumulat ng talang may apat na linya sa tiket: ang sintomas, ang kliyente at bersyon, ang nag-iisang linyang error na nagtukoy nito, at ang pagwawasto. Huwag maglakip ng iba pa, dahil ang export ay para sa iyo at ang tala ay para sa susunod na tao.
Ang tala ay mas malamang ding basahin: ang buong export ay pangunahing nagsisilbi sa kumuha nito, at alam na ng taong iyon ang nangyari. Itago ang tala kung saan hahanapin ang susunod na insidente, na karaniwang nangangahulugang ang tiket at hindi ang folder na pinangalanan sa isang petsa. Ang numero ng kaso ay maaaring magdala ng reperensya kung ang tala ay kailangang masubaybayan nang hindi inilalantad ang isang identifier ng koneksyon. Kung may tanong pang bukas, ang orihinal ay nananatili sa ilalim ng tuntunin ng protektadong kopya sa itaas; kapag may tala na, lahat ng iba ay maaaring umalis.
Hanapin ang bawat kopya bago magbura ng isa
Tingnan sa folder ng export, pagkatapos ay sa journal para sa window ng insidente, pagkatapos ay sa mga kalakip ng tiket, pagkatapos ay sa katalogo ng backup, pagkatapos ay sa imbakan ng pagsubaybay. Kung ang parehong identifier ng koneksyon ay lumitaw sa ikalimang lugar, mali ang imbentaryo. Ang journal ang karaniwang sorpresa, dahil patuloy itong nangolekta habang binabasa mo ang export.
Gamitin ang sinusuportahang landas ng pag-ikot at pagbura sa halip na manu-manong maghiwalay ng mga file. Ang file na bukas pa ay pinapanatili ang storage nito pagkatapos mawala ang entry sa direktoryo, kaya mukhang kumpleto ang pagbura at wala itong nabibigyan ng espasyo. Iyon ay isang bug sa storage na may tatak ng privacy, at hindi nito natutugunan ang alinman sa dalawang layunin.
Ihinto ang pagkolekta bago i-verify ang pagbura
Ihinto ang pansamantalang detalyadong pagkolekta sa pamamagitan ng application na nagmamay-ari nito, hindi sa pag-edit ng output file nito. Ang nakalimutang setting ng debug ay patuloy na nagsusulat ng mga bagong tala pagkatapos alisin ang mga luma, na tahimik na nagpapawalang-bisa sa trabahong ginawa mo lang. Suriin ang aktwal na antas ng pag-log at hindi ang halagang natatandaan mong itinakda mo. Pagkatapos ay kumpirmahin na ang natitira ay protektado at ang mga taong nilayon lamang ang makakakuha nito.
Ang prinsipyo ay pagpapaliit ng data: panatilihin ang kailangan ng isang nakasaad na layunin, hanggang sa kailangan ito, at wala nang iba pa, gaya ng mga patnubay sa privacy RFC 6973 pagbabalangkas. Ang file na itinago nang walang layunin ay isang pananagutan na may timestamp. Tapos na ang desisyon kapag maipangalan mo ang file, ang layunin nito, ang may-ari nito at ang petsa ng pagtatapos nito.