VPN kullanıcı adı günlük ardışık düzeninden nerede kaybolur?
Günlük gizliliği denetimini değiştirmeden önce ağ geçidi olayını, toplayıcının ham kopyasını, dizinlenmiş olayı ve arama anındaki alanı karşılaştırın.
Oturumlar panoda görünürken kullanıcı adı sütunu boş kalır ve ilk tepki ayrıştırıcıyı suçlamaktır. Bu tepki, değerin kaybolmuş olabileceği üç önceki aşamayı atlar. Ağ geçidi bir kimliği politikaya göre maskeleyebilir, bir alma kuralı onu dizinlemeden önce silebilir ve arama anındaki çıkarma onu adlandırmayı basitçe başaramayabilir. Düzeltme, hangi sınırın sorumlu olduğunu kanıtlayabildiğinize bağlıdır, bu yüzden yararlı iş yapılandırma değil karşılaştırmadır.
Panodan değil, tek bir olaydan başlayın
Tek bir kimlik doğrulama olayı seçin ve onu neyin tanımladığını yazın: ağ geçidi modeli ve sürümü, kimlik doğrulama yöntemi, olay tanımlayıcısı, zaman damgası ve kaynak adresi. Kullanıcı adını kişinin yazdığı gibi, büyük ve küçük harfler dahil ekleyin, çünkü büyük-küçük harfe duyarlı bir arama var olan bir alanı gizleyebilir. O olayı sonraki her karşılaştırma için referans olarak alın.
Olay türleri aynı şemayı paylaşmaz. Başarısız bir deneme, istemcisiz başarılı bir oturum açma ve bir tünel yeniden bağlantısı farklı alanlar üretebilir ve bazı ağ geçitleri deneme hiç kullanıcı kimlik doğrulamasına ulaşmadığında kimliği atlar. Bu yüzden tek bir olay türünde boş sütun, ardışık düzen sorununun zayıf kanıtıdır.
Gerçek bir çalışan hesabı yerine onaylanmış bir test kimliğiyle çalışın ve karşılaştırmayı günlük verilerine zaten uygulanan erişim kurallarının içinde tutun. Yalnızca bir örnek elde etmek için ayrıntılı kimlik doğrulama günlüklemesini geniş çapta açmak, ölçmeye çalıştığınız sistemi değiştirir.
Dört sınırı sırayla karşılaştırın
Değer dört noktadan birinde kaybolabilir. Her noktanın farklı bir sahibi ve farklı bir onarımı vardır.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Değerin kaybolduğu ilk sınırda durun. Aygıt görünümü ile ham kopya arasındaki uyuşmazlık aktarıma veya toplayıcı yapılandırmasına işaret eder; orada uyuşma olup dizinlenmiş olayda değerin eksik olması bir dönüşüme işaret eder; dizinlenmiş olayda bulunup panoda görünmeyen değer ise çıkarmaya veya sorguya işaret eder.
Bu sıra önemlidir çünkü her sonraki aşama yalnızca bilgi kaybedebilir, onu asla geri getiremez. Bir düzenli ifade, önceki bir aşamanın yer tutucuyla değiştirdiği dizeyi geri getiremez ve bir gizlilik ayarı hiç gönderilmemiş bir değeri açıklayamaz.
Kaynakta maskeleme politikadır, ayrıştırıcı hatası değil
Cisco’nun ASA günlükleme belgeleri kullanıcı adının gizlenmesini yapılandırılabilir bir davranış olarak açıklar, geçersiz veya bilinmeyen kullanıcı adlarının nasıl gösterildiği dahil. Bu nedenle kaynak olaydaki maskelenmiş bir kimlik tam olarak gizlilik politikasının gerektirdiği şey olabilir ve bunu ayrıştırma hatası saymak denetimi zayıflatan bir talebe yol açar.
Tam gösterim sürüme ve ileti türüne bağlıdır. Bir olay yer tutucu taşıyabilir, bir diğeri alanı tamamen atlayabilir ve bir kimlik doğrulama hatası hiçbir zaman ad içermeyebilir. Eski bir hata raporunu her eksik kimliğe uygulamak yerine belirli olay için belgelenmiş davranışı kontrol edin.
Maskeleme kasıtlı olduğunda soru, alanın nasıl geri getirileceğinden denetim gereksiniminin başka bir yolla karşılanıp karşılanamayacağına kayar. Oturum tanımlayıcıları, daha küçük bir grubun elindeki kontrollü kimlik eşlemesi veya daha dar yetkili bir olay akışı, denenen her kullanıcı adını her günlük okuyucusunun önüne koymadan ihtiyacı sıklıkla karşılar.
Dizinlemeden önce anonimleştirme geri alınamaz
Splunk’ın olay işleme belgeleri, anonimleştirmeyi verileri dizinlemeden önce yeniden yazan veya kaldıran sed ifadeleri ve dönüşümler aracılığıyla açıklar. Tam olarak o yer konunun özüdür: ham olay girişte değiştirilir, bu yüzden arama anındaki çıkarmanın bulacak bir şeyi kalmaz.
Dizinleme anındaki redaksiyon ile arama anındaki alan çıkarma farklı sorunları çözer. Redaksiyon değeri kimin görebileceğini sınırlar; çıkarma yalnızca sorgunun hangi adı kullandığını belirler. Karma hesabı korelasyonu koruyan orta bir seçenektir, ancak küçük bir kullanıcı adı uzayı üzerinde kararlı bir karma, biri ona karşı aday adları deneyebildiğinde hâlâ tanımlayıcıdır.
Saklanan olay hâlâ kimliği içeriyorsa sorun aşağı akıştadır: kaynak türü, satır kırma, sınırlayıcı işleme, alan takma adları veya sorgunun kendisi. Bunlar olağan ayrıştırma onarımlarıdır ve gizlilik sınırına dokunmazlar.
Sınıra uyan onarımı seçin
Yanıtı üç koşul belirler. Birincisi, gizlilik politikası kimliği dışlamayı mı amaçlıyor? İkincisi, denetim veya soruşturma süreci kimliğe, bir takma ada yoksa yalnızca oturuma mı ihtiyaç duyuyor? Üçüncüsü, değer hangi sınırda gerekiyor — toplama, saklama veya sunum?
Politika dışlamayı amaçlıyorsa denetimi değil, gereksinimi veya sunumu değiştirin. Politika kimliğe izin veriyor ama toplama onu düşürüyorsa toplayıcıyı onarın ve ham olayı doğrulayın. Saklama sağlamsa çıkarmayı onarın ve başlangıçta yakaladığınız onaylı olaya karşı test edin.
Soruşturmayı değişiklik kaydında sınırı adlandırarak kapatın: kaynakta maskelendi, alım sırasında kaldırıldı veya çıkarma tarafından kaçırıldı. O tek cümle bir sonraki mühendise önce nereye bakacağını söyler ve pano şikâyetinin sessizce devre dışı bırakılmış bir gizlilik özelliğine dönüşmesini önler.