VPN günlüğü tarama geçmişini gösterebilir mi? Kanıt neyi kanıtlar
Oturum günlüğü, çözümleyici sorgusu ve akış kaydı farklı şeyleri kanıtlar. Soruyu seçin, kimliği ve zamanı birleştirin, sonra yalnızca gösterileni söyleyin.
İki denetim sorusu kulağa benzer gelir ve farklı türde kanıt gerektirir. Bu adresle hangi oturumun iletişim kurduğu bağlantı ve akış kayıtlarından yanıtlanabilir. Bu sayfayı hangi kişinin açtığı genellikle yanıtlanamaz, en azından o kayıtlardan yanıtlanamaz. Soruyu seçmeden önce bir toplayıcı seçmek, bir ağ ekibinin sonunda bir ana bilgisayar adını tarama geçmişi olarak sunmasının yoludur.
Denetimin kanıtlaması gereken olayla başlayın
Soruyu özne, fiil ve zaman içeren bir cümle olarak yazın. Yalnızca bu disiplin bir oturum kaydı ile bir sayfa görüntülemesi arasındaki boşluğu ortaya çıkarır. Bir oturum günlüğü, bir kimliğin belirli bir aralık için, kaydedilmiş bir politika altında atanan bir adresle kabul edildiğini kanıtlar ve kimsenin hangi sayfayı okuduğunu kanıtlayamaz, çünkü isteği hiç görmedi.
Toplamayı tasarlamadan önce gözlemi etiketleyin. Ziyaret edilen bir siteye göre adlandırılan ama aslında çözülmüş bir adı saklayan alan, bir kolaylık değil gelecekteki bir hatadır. Alan adları onları seçen insanlardan daha uzun yaşar, bu yüzden sonucu değil kanıtı tanımlayan adları seçin.
Her kayıt neyi destekleyebilir, neyi destekleyemez
Neredeyse her denetim tasarımında dört kayıt türü görünür ve her biri farklı bir soruyu yanıtlar. Bunları hem raporda hem de hatta ayrı tutun, çünkü karıştırmak savunulabilir bir bulgunun utanç verici hale gelmesinin yoludur.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Son sütunu ortadaki kadar dikkatle okuyun. Bir akış kaydı adresleri ve bağlantı noktalarını tanımlar ve bir adresin ters araması bir tarayıcının kullandığı adı yeniden oluşturmaz, çünkü bir adres birçok ilgisiz siteyi barındırabilir. Bir çözümleyici sorgusu bir sorunun sorulduğunu kanıtlar, bir sayfanın gösterildiğini değil. TLS görüşmesi sırasında görünen bir ana bilgisayar adı da şifrelenmiş istek yolu değildir.
Bunların her biri gerçek bir gözlemdir ve hiçbiri insanların varsaydığı gözlem değildir. Kendi şifreli çözümleyicisinde ısrar eden bir tarayıcı izlenen kapsamın dışındadır ve analiz, günlüklemenin hiç görmediği şeyi geri getiremez. Bu boşluk raporda bir dipnot olarak değil, açık bir sınırlama olarak yer almalıdır.
Spekülatif aramalar ve önbellekten yanıtlar
Tarayıcılar adları önceden çözer, bazen hiçbir şey yüklemeden. Ayrıca izlediğiniz çözümleyiciye yeni bir sorgu göndermeden önbellekten yanıt verirler, bu da sorgunun yokluğunun ziyaretin yokluğu olmadığı anlamına gelir. Her iki davranış da bir DNS günlüğü ile tarama geçmişi arasındaki saf denklemi bozar.
DNS over HTTPS ikinci bir sınır ekler: kendi çözümleyicisine sahip bir tarayıcı veya konuk uygulama kuruluşun günlükleyicisine hiçbir şey sormaz. Kesin işlemler yalnızca uygulamanın kendi olaylarından veya günlüklemesini açıkça desteklediğiniz bir vekilden gelir. Sıradan bir HTTPS CONNECT tüneli vekile içindeki sayfa yolları hakkında hiçbir görünüm vermez. Ağa sahip olmak, uygulamanın güven modelini sessizce değiştirme izni değildir.
Adres bir oturuma aittir, kişiye değil
Tünel aralığından bir adres taşıyan akış kaydı bir yanıt değil başlangıç noktasıdır. O adresi ve zaman damgasını o anda etkin olan oturum atamasıyla birleştirin, çünkü adres bir saat sonra başka bir oturuma atanabilir. Statik adresleme bu ilişkiyi korumanın bir yoludur, tek yolu değil.
Bir çeviri adımı, sensörün üst akışında birkaç cihazı tek bir kaynak adreste birleştirdiğinde, birleştirme yalnızca paylaşılan ağ geçidi oturumunu adlandırabilir. Paylaşılan bir hesap veya birkaç kişinin kullandığı bir sertifika, ağ verileri ne kadar eksiksiz görünürse görünsün atfı sınırlar. Her ikisi de raporda sonraya bırakılan çekinceler olarak değil, sınırlamalar olarak yer almalıdır.
Saat dilimini, saat kaynağını, gözlem noktasını ve aralarındaki her çeviri sınırını kaydedin. Yokluk, varlık kadar özen hak eder, çünkü eksik bir kayıt bir akış girdisinin süresinin dolduğu, sensörün paketi hiç görmediği veya bir uygulama günlüğünün kapatıldığı anlamına gelebilir.
Belirtilen amaç için tasarlayın, sonra hattı kanıtlayın
Soru sabitlendikten sonra hangi alanların gerektiğini, kimin okuyabileceğini ve ne kadar saklandığını tanımlayın. Depolama ucuz diye daha fazla toplamak, soruşturmadan daha uzun yaşayan bir yükümlülük yaratır. RFC 6973 içindeki gizlilik modeli, bağıntıyı, yanlış atfı ve gereksiz toplamayı sonradan akla gelen bir düşünce değil, tasarım sorunları olarak çerçeveler.
Eşlemeyi ve kayıtları tek bir nesne olarak koruyun, çünkü her biri tek başına çiftten çok daha az hassastır. Ardından tasarımı, üretmesine izin verildiğiniz ve zaten anladığınız etkinliğe karşı, raporun dayanacağı en küçük sorguyu kullanarak doğrulayın. Bilinen bir olayı yeniden üretemeyen bir hat, bilinmeyen bir olayı da yeniden üretmez. Kanıtın desteklediği olayı, kanıtın izin verdiği sözcüklerle bildirin ve daha büyük sonuca okuyucunun kendi başına varmasına izin verin.
Sınırlamaları bulgunun yanına yazın: ne birleştirildi, ne çevrildi ve hangi günlük sessiz kaldı. Kendi sınırlarını belirten bir bulgu, kendinden emin bir özetin dayanamayacağı bir incelemeye dayanır. Kanıt ile kanıt hakkındaki hikâye arasındaki fark budur.