Зберігання журналів VPN: прив'яжіть його до інциденту, а не до числа
Термін зберігання випливає з інциденту, вмісту та політики, а не з універсального дедлайну. Знайдіть кожну копію, зупиніть докладний збір і ведіть короткий запис.
Насправді ніхто не питає, скільки зберігати журнал VPN; питають, для чого журнал, і відповідь на це визначає дату. З одного інциденту можуть вийти два файли з різним строком життя, і якщо ставитися до них як до однієї політики, виникають одночасно і надмірне зберігання, і втрата доказів. Налагоджувальний експорт, знятий поки причина була невідома, — не той самий артефакт, що рядок у сховищі моніторингу. Почніть із мети, а потім виберіть дату.
Дайте відповідь на чотири питання, перш ніж вибирати дату
Чотири питання вирішують, чи залишиться файл: чи інцидент досі відкритий, що містить файл, кому його треба прочитати і що вимагає застосовна політика. Дайте відповіді в цьому порядку, і дата зберігання випливе сама. Обґрунтування вміщується в таблицю:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Поки інцидент відкритий, тримайте одну захищену копію оригіналу, щоб згодом порівняти події або відповісти на питання підтримки, і письмово призначте їй власника та мету. Усім поза командою реагування зазвичай достатньо короткого відредагованого витягу, і його значно легше захистити, ніж повний експорт. Оригінал і витяг — різні артефакти з різною аудиторією, і саме їхнє злиття створює і надмірне зберігання, і втрату доказів. Політика задає нижню межу, тож якщо вона вимагає довшого строку, ніж ваше обґрунтування, перемагає політика.
Закрийте інцидент записом, а не експортом
Запишіть у заявку запис із чотирьох рядків: симптом, клієнт і версія, єдиний рядок помилки, який його виявив, і виправлення. Не додавайте нічого іншого, бо експорт був для вас, а запис — для наступної людини.
Запис ще й імовірніше прочитають: повний експорт здебільшого потрібен тому, хто його зняв, а ця людина вже знає, що сталося. Тримайте запис там, де шукатимуть наступний інцидент, а це зазвичай заявка, а не тека, названа датою. Номер справи може нести посилання, якщо запис має бути простежуваним без розкриття ідентифікатора з'єднання. Якщо якесь питання досі відкрите, оригінал залишається під правилом захищеної копії вище; щойно запис існує, усе інше може йти.
Знайдіть кожну копію, перш ніж видалити одну
Погляньте в теку експорту, потім у журнал за вікно інциденту, потім у вкладення заявки, потім у каталог резервних копій, потім у сховище моніторингу. Якщо той самий ідентифікатор з'єднання з'явиться в п'ятому місці, інвентаризація була хибною. Журнал — звичайна несподіванка, бо він продовжував збирати, поки ви читали експорт.
Використовуйте підтриманий шлях ротації та видалення замість ручного від'єднання файлів. Файл, який ще відкритий, зберігає своє місце після зникнення запису в каталозі, тож видалення виглядає повним і нічого не звільняє. Це помилка сховища з етикеткою приватності, і вона не задовольняє жодної з двох цілей.
Зупиніть збір, перш ніж перевіряти видалення
Зупиніть тимчасовий докладний збір через застосунок, якому він належить, а не редагуючи його вихідний файл. Забуте налагоджувальне налаштування продовжує писати нові записи після видалення старих, що тихо скасовує щойно виконану роботу. Перевірте фактичний рівень журналювання, а не значення, яке ви пам'ятаєте. Потім переконайтеся, що залишене захищене і що отримати його можуть лише призначені люди.
Принцип — мінімізація даних: тримайте те, що потрібно заявленій меті, стільки, скільки потрібно, і нічого більше, як це настанови щодо приватності RFC 6973 формулюють. Файл, що зберігається без мети, — це зобов'язання з позначкою часу. Рішення завершене, коли ви можете назвати файл, його мету, власника та дату завершення.