Bir VPN günlüğünün gezinme hakkında kanıtlayabildikleri ve kanıtlayamadıkları

Bir günlük toplayıcı seçmeden önce denetimin hangi olayı saptaması gerektiğine karar verin. Hangi VPN oturumunun bir hedef adresle iletişim kurduğunu sormak, hangi kişinin belirli bir sayfayı açtığını sormaktan farklı bir sorudur. İkisi de farklı kayıtlar, farklı birleştirmeler ve farklı güven düzeyleri gerektirir. Bir OpenVPN bağlantı günlüğü birincisini yanıtlar ve ikincisini yanıtlayamaz.

Toplayıcı seçmeden önce olayı adlandırın

Bir oturum kaydı kabul edilmiş bir kimliği, başlangıç ve bitiş zamanını ve sunucunun kendi politikasına göre atadığı bir adresi gösterir. Bir çözümleyici günlüğü, o çözümleyicide bir adın sorgulandığını gösterir. Bir akış kaydı adresleri, bağlantı noktalarını, protokolü ve zamanı gösterir; bir uygulama günlüğü ise o uygulamanın gerçekten işlediği işlemi gösterir. Bu dördünden hiçbiri diğerinin yerine geçmez.

Bunların her biri bir olayı saptar ve diğerlerini açık bırakır. Soruyu önce yazmak, verilerin destekleyemeyeceği bir hikâye kurmanızı engeller.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

İlk komut hizmet günlüğünden oturum olaylarını gösterir. İkincisi atanmış adreslerle birlikte güncel istemci listesini yazdırır; bu, denetim birleştirmesinin dayandığı eşlemedir. Üçüncüsü yalnızca bağlantı var olduğu sürece yararlı olan canlı akış durumunu gösterir.

Arama bir ziyaret değildir

Bir tarayıcı adları tahmine dayalı olarak çözer, yanıtları önbelleğe alır ve izlenen çözümleyiciye yeniden sormadan bunları yeniden kullanır. Bu nedenle bir çözümleyici günlüğündeki ad, bir aramayı kanıtlar, ziyareti değil. HTTPS üzerinden DNS bu boşluğu genişletir, çünkü bunun için yapılandırılmış bir tarayıcı sorularını normal kayıt tutucunuzun asla görmediği bir yere gönderir.

Hedef adresler tek başına daha iyi değildir. Bir adres birbiriyle ilgisiz birçok siteyi barındırabilir, ters DNS bir yeniden yapılandırma değil tahmindir ve bir TLS el sıkışması sırasında görünen ana makine adı şifreli oturumun içindeki istek yolu değildir.

Kesin işlemler için uygulamanın kendi olay kayıtlarına veya günlükleme için açıkça desteklenen bir vekil tasarımına ihtiyacınız var. Bir CONNECT tüneli vekile hedefi ve hacmi verir, içindeki sayfa yollarını vermez. Ağa yönetici erişimi, uygulamanın güven modelini sessizce değiştirme lisansı değildir.

Bir kişiyi adlandırmadan önce kimlik ve zamanı birleştirin

İç kaynak adresi taşıyan bir akış kaydı, o adres aynı anda bir oturumla birleştirilene kadar hiçbir şey ifade etmez. Adresler yeniden kullanılır ve aynı adres bir saat önce başka bir oturuma ait olabilir. Statik atama ilişkiyi korumanın bir yoludur, tek yolu değil.

Çeviri sınırları birleştirmeyi daha da zayıflatır. Birden çok aygıt gözlem noktanızdan önce zaten tek bir kaynak adresi paylaşıyorsa tanımlayabileceğiniz en iyi şey tek bir aygıt değil, paylaşılan ağ geçidi oturumudur. Birden çok kişinin kullandığı bir sertifika veya hesap da aynı etkiye sahiptir.

Saat dilimlerini, saat kaynaklarını, gözlem noktalarını ve her çeviri adımını kaydedin. Eksik kayıtlar bir akış girdisinin süresinin dolduğunu, bir sensörün atlatıldığını veya bir uygulama günlüğünün kapalı olduğunu gösterebilir. Yokluk, hiçbir şey olmadığının kanıtı değildir.

Ardından belirtilen amaç için asgari alanları, izin verilen okuyucuları ve saklama süresini tanımlayın. Korelasyon ve yanlış atıf sonradan akla gelen bir düşünce değil tasarım sorunlarıdır ve insanları tanımlayan üst veriler, bağlı oldukları kimlik eşlemesiyle aynı korumayı hak eder.

Denetimi kontrol ettiğiniz etkinlikle sınayın

Oturumunu ve uygulamasını zaten bildiğiniz izinli trafik üretin, ardından her kaydın gerçekte neyi yakaladığını denetleyin. Sayfayı yüklemeden bir arama yapın, önbellekten bir sayfa yükleyin ve bir vekil üzerinden bağlantı açın ve hangi olayların göründüğüne bakın.

Kanıtların desteklediği olayı bildirin ve neleri kapsamadığını söyleyin. Belirtilen kapsama sahip ölçülü bir kayıt incelemeden geçer; tahminlerden kurulmuş iddialı bir gezinme geçmişi geçmez.