Saan nawawala ang username ng VPN mula sa pipeline ng log?

Lumalabas ang mga session sa dashboard habang nananatiling blangko ang kolum ng username, at ang unang reaksiyon ay sisihin ang parser. Nilalaktawan ng reaksiyong iyon ang tatlong naunang yugto kung saan maaaring nawala ang halaga. Maaaring itago ng gateway ang pagkakakilanlan ayon sa patakaran, maaaring burahin ito ng panuntunan sa pagpasok bago ang pag-index, at maaaring mabigo lamang ang pagkuha sa oras ng paghahanap na pangalanan ito. Nakadepende ang pagwawasto sa kung aling hangganan ang mapapatunayan mong responsable, kaya ang kapaki-pakinabang na gawain ay paghahambing, hindi pagsasaayos.

Magsimula sa isang kaganapan, hindi sa dashboard

Pumili ng isang kaganapan ng pagpapatunay at isulat kung ano ang tumutukoy dito: modelo at release ng gateway, paraan ng pagpapatunay, identifier ng kaganapan, timestamp at address ng pinagmulan. Idagdag ang username nang eksakto kung paano ito naipasok ng tao, kasama ang malalaki at maliliit na titik, dahil ang paghahanap na sensitibo sa titik ay maaaring magtago ng field na umiiral. Ituring ang kaganapang iyon bilang sanggunian para sa bawat susunod na paghahambing.

Hindi nagbabahagi ng isang schema ang mga uri ng kaganapan. Ang nabigong pagtatangka, matagumpay na pag-login na walang client at muling pagkonekta ng tunnel ay maaaring gumawa ng magkakaibang field, at may mga gateway na iniiwan ang pagkakakilanlan kapag ang pagtatangka ay hindi umabot sa pagpapatunay ng user. Kaya ang blangkong kolum sa isang uri ng kaganapan ay mahinang ebidensiya ng problema sa pipeline.

Magtrabaho gamit ang aprubadong test identity sa halip na tunay na account ng empleyado, at panatilihin ang paghahambing sa loob ng mga tuntunin sa pag-access na namamahala na sa data ng log. Ang malawakang pagpapagana ng detalyadong pag-log ng pagpapatunay para lamang makakuha ng sample ay nagbabago sa sistemang sinusubukan mong sukatin.

Ihambing ang apat na hangganan sa pagkakasunod-sunod

Maaaring mawala ang halaga sa isa sa apat na punto. Bawat punto ay may ibang may-ari at ibang pagwawasto.

Huminto sa unang hangganan kung saan nawawala ang halaga. Ang pagkakaiba ng view ng device at ng hilaw na kopya ay tumutukoy sa transport o configuration ng kolektor; pagkakatugma doon ngunit kulang ang halaga sa na-index na kaganapan ay tumutukoy sa isang pagbabago; ang halagang nasa na-index na kaganapan ngunit wala sa dashboard ay tumutukoy sa pagkuha o sa query.

Mahalaga ang pagkakasunod-sunod na ito dahil ang bawat susunod na yugto ay makakapagpawala lamang ng impormasyon, hindi ito maibabalik. Hindi maibabalik ng regular na expression ang string na pinalitan ng naunang yugto ng placeholder, at hindi maipapaliwanag ng setting ng privacy ang halagang hindi kailanman naipadala.

Ang pagtatago sa pinagmulan ay patakaran, hindi bug ng parser

Inilalarawan ng dokumentasyon ng pag-log ng ASA ng Cisco ang pagtatago ng username bilang pag-uugaling maisasaayos, kasama kung paano ipinapakita ang mga di-wasto o hindi kilalang username. Kaya ang nakatagong pagkakakilanlan sa kaganapan ng pinagmulan ay maaaring eksaktong hinihingi ng patakaran sa privacy, at ang ituring itong kabiguan sa pag-parse ay humahantong sa kahilingang nagpapahina sa kontrol.

Ang eksaktong representasyon ay nakadepende sa release at uri ng mensahe. Maaaring may placeholder ang isang kaganapan, maaaring tuluyang alisin ng iba ang field, at maaaring hindi kailanman maglaman ng pangalan ang kabiguan sa pagpapatunay. Suriin ang dokumentadong pag-uugali para sa partikular na kaganapan sa halip na ilapat ang lumang ulat ng bug sa bawat nawawalang pagkakakilanlan.

Kapag sinadya ang pagtatago, nagbabago ang tanong mula sa kung paano ibabalik ang field tungo sa kung matutugunan ba ang pangangailangan sa audit sa ibang paraan. Ang mga session identifier, kontroladong pagmamapa ng pagkakakilanlan na hawak ng mas maliit na grupo, o mas makitid na awtorisadong feed ng kaganapan ay madalas na tumutugon sa pangangailangan nang hindi inilalagay ang bawat sinubukang username sa harap ng bawat mambabasa ng log.

Hindi maibabalik ang anonymization bago ang pag-index

Inilalarawan ng dokumentasyon ng Splunk sa pagproseso ng kaganapan ang anonymization sa pamamagitan ng mga ekspresyong sed at pagbabagong nagsusulat muli o nag-aalis ng data bago ito i-index. Ang mismong lokasyong iyon ang punto: binabago ang hilaw na kaganapan sa pagpasok, kaya wala nang mahahanap ang pagkuha sa oras ng paghahanap.

Ang redaction sa oras ng pag-index at pagkuha ng field sa oras ng paghahanap ay lumulutas ng magkaibang problema. Nililimitahan ng redaction kung sino ang makakakita ng halaga; ang pagkuha ay nagpapasya lamang kung aling pangalan ang ginagamit ng query. Ang hashing ay gitnang opsiyon na nagpapanatili ng ugnayan, ngunit ang matatag na hash sa maliit na espasyo ng username ay nagbibigay pa rin ng pagkakakilanlan kapag may makapagsubok ng mga kandidatong pangalan laban dito.

Kung naglalaman pa rin ng pagkakakilanlan ang naka-store na kaganapan, ang problema ay nasa ibaba ng daloy: uri ng pinagmulan, paghahati ng linya, paghawak ng delimiter, alias ng field o ang query mismo. Mga ordinaryong pagwawasto iyon sa pag-parse at hindi nila ginagalaw ang hangganan ng privacy.

Piliin ang pagwawastong tumutugma sa hangganan

Tatlong kondisyon ang nagpapasya sa tugon. Una, nilalayon ba ng patakaran sa privacy na ibukod ang pagkakakilanlan? Ikalawa, kailangan ba ng proseso ng audit o imbestigasyon ang pagkakakilanlan, isang alyas, o ang session lamang? Ikatlo, sa aling hangganan kailangan ang halaga — koleksiyon, imbakan o presentasyon?

Kung nilalayon ng patakaran ang pagbubukod, baguhin ang pangangailangan o ang presentasyon, hindi ang kontrol. Kung pinapayagan ng patakaran ang pagkakakilanlan ngunit itinatapon ito ng koleksiyon, ayusin ang kolektor at kumpirmahin ang hilaw na kaganapan. Kung buo ang imbakan, ayusin ang pagkuha at subukan ito laban sa aprubadong kaganapang nakuha mo sa simula.

Tapusin ang imbestigasyon sa pagbibigay ng pangalan sa hangganan sa talaan ng pagbabago: nakatago sa pinagmulan, inalis habang nagpapasok, o napalampas ng pagkuha. Ang isang pangungusap na iyon ay nagsasabi sa susunod na inhinyero kung saan titingin muna, at pinipigilan nito ang reklamo sa dashboard na maging isang tahimik na hindi pinagana na tampok ng privacy.