Ano ang maaari at hindi maaaring patunayan ng isang VPN log tungkol sa pag-browse

Bago pumili ng mangongolekta ng log, magpasya kung aling pangyayari ang dapat itatag ng pag-audit. Ang pagtatanong kung aling session ng VPN ang kumontak sa isang destinasyong address ay iba sa pagtatanong kung aling tao ang nagbukas ng isang partikular na pahina. Pareho silang nangangailangan ng magkaibang rekord, magkaibang pagkakabit at magkaibang antas ng pagtitiwala. Ang log ng koneksyon ng OpenVPN ay sumasagot sa una at hindi kayang sagutin ang pangalawa.

Pangalanan ang pangyayari bago pumili ng mangongolekta

Ang rekord ng session ay nagpapakita ng tinanggap na pagkakakilanlan, oras ng simula at pagtatapos at isang address na itinalaga ng server ayon sa sarili nitong patakaran. Ang log ng resolver ay nagpapakita na may itinanong na pangalan sa resolver na iyon. Ang rekord ng daloy ay nagpapakita ng mga address, port, protocol at oras, at ang log ng aplikasyon ay nagpapakita ng transaksyong aktuwal na hinawakan ng aplikasyong iyon. Wala sa apat na ito ang pumapalit sa isa pa.

Bawat isa sa kanila ay nagtatatag ng isang pangyayari at iniiwan ang iba na bukas. Ang pagsulat ng tanong muna ay pumipigil sa iyo na buuin ang isang kuwentong hindi kayang suportahan ng datos.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Ang unang utos ay nagpapakita ng mga pangyayari ng session mula sa journal ng serbisyo. Ang pangalawa ay naglilimbag ng kasalukuyang listahan ng kliyente kasama ang mga itinalagang address, na siyang pagmamapa na pinagbabatayan ng pagkakabit sa pag-audit. Ang pangatlo ay nagpapakita ng live na kalagayan ng daloy, kapaki-pakinabang lamang habang umiiral pa ang koneksyon.

Ang paghahanap ay hindi pagbisita

Ang browser ay naglulutas ng mga pangalan sa paraang haka-haka, nag-iimbak ng mga sagot sa cache at ginagamit muli ang mga ito nang hindi muling tinatanong ang binabantayang resolver. Kaya ang pangalan sa log ng resolver ay nagpapatunay ng paghahanap, hindi ng pagbisita. Ang DNS sa ibabaw ng HTTPS ay nagpapalawak ng puwang na iyon, dahil ang browser na nakaayos para dito ay nagpapadala ng mga tanong nito sa lugar na hindi kailanman nakikita ng iyong karaniwang tagapagtala.

Ang mga destinasyong address ay hindi mas mabuti nang mag-isa. Ang isang address ay maaaring mag-host ng maraming walang kaugnayang site, ang reverse DNS ay haka-haka at hindi muling pagbuo, at ang hostname na nakikita sa panahon ng TLS handshake ay hindi ang landas ng kahilingan sa loob ng naka-encrypt na session.

Para sa eksaktong mga transaksyon kailangan mo ang sariling mga rekord ng pangyayari ng aplikasyon o isang disenyo ng proxy na hayagang sinusuportahan para sa pag-log. Ang CONNECT tunnel ay nagbibigay sa proxy ng destinasyon at dami, hindi ang mga landas ng pahina sa loob nito. Ang administratibong pag-access sa network ay hindi lisensya upang tahimik na palitan ang modelo ng pagtitiwala ng aplikasyon.

Ikabit ang pagkakakilanlan at oras bago pangalanan ang isang tao

Ang rekord ng daloy na may panloob na address ng pinagmulan ay walang kahulugan hanggang ang address na iyon ay maikabit sa isang session sa parehong sandali. Ang mga address ay ginagamit muli, at ang parehong address ay maaaring pag-aari ng ibang session isang oras bago. Ang static na pagtatalaga ay isang paraan upang mapanatili ang kaugnayan, hindi ang tanging paraan.

Ang mga hangganan ng pagsasalin ay lalong nagpapahina sa pagkakabit. Kung maraming aparato ang nagbabahagi na ng isang address ng pinagmulan bago ang iyong punto ng pagmamasid, ang pinakamainam na matutukoy mo ay ang pinagsasaluhang session ng gateway at hindi isang aparato. Ang sertipiko o account na ginagamit ng maraming tao ay may parehong epekto.

Itala ang mga time zone, pinagmulan ng orasan, punto ng pagmamasid at bawat hakbang ng pagsasalin. Ang mga nawawalang rekord ay maaaring mangahulugan na ang isang entry ng daloy ay nag-expire, na may sensor na nalampasan o na ang log ng aplikasyon ay patay. Ang kawalan ay hindi patunay na walang nangyari.

Pagkatapos ay tukuyin ang pinakamababang field, ang pinapayagang mambabasa at ang panahon ng pagtago para sa nakasaad na layunin. Ang ugnayan at maling pagtatalaga ay mga usapin ng disenyo at hindi isang naantalang pag-iisip, at ang metadata na kumikilala sa mga tao ay karapat-dapat sa parehong proteksyon tulad ng pagmamapa ng pagkakakilanlang pinagbabatayan nito.

Subukan ang pag-audit sa aktibidad na iyong kinokontrol

Gumawa ng pinapayagang trapiko na alam mo na ang session at aplikasyon, pagkatapos ay tingnan kung ano ang aktuwal na nahuli ng bawat rekord. Maghanap nang hindi nilo-load ang pahina, mag-load ng pahina mula sa cache at magbukas ng koneksyon sa pamamagitan ng proxy, at tingnan kung aling mga pangyayari ang lumilitaw.

Iulat ang pangyayaring sinusuportahan ng ebidensya at sabihin kung ano ang hindi nito sinasaklaw. Ang isang katamtamang rekord na may nakasaad na saklaw ay nakakalampas sa pagsusuri; ang isang ambisyosong kasaysayan ng pag-browse na binuo mula sa haka-haka ay hindi nakakalampas.