VPN jurnali ko'rish tarixini ko'rsata oladimi? Dalil nimani isbotlaydi
Sessiya jurnali, resolver so'rovi va oqim yozuvi turli narsalarni isbotlaydi. Savolni tanlang, shaxs va vaqtni bog'lang, so'ng faqat ko'rsatilganini ayting.
Ikki audit savoli bir xil eshitiladi, lekin turli xil dalillarni talab qiladi. Bu manzilga qaysi sessiya murojaat qilganini ulanish va oqim yozuvlaridan aytish mumkin. Bu sahifani qaysi shaxs ochganini odatda aytib bo'lmaydi, hech bo'lmaganda o'sha yozuvlardan emas. Savolni tanlashdan oldin yig'uvchini tanlash — bu tarmoq jamoasi oxir-oqibat xost nomini ko'rish tarixi sifatida taqdim etishining yo'li.
Audit aniqlashi kerak bo'lgan hodisadan boshlang
Savolni ega, fe'l va vaqt qatnashgan gap sifatida yozing. Faqat shu intizom sessiya yozuvi bilan sahifa ko'rinishi o'rtasidagi bo'shliqni ochib beradi. Sessiya jurnali qandaydir shaxsning ma'lum oraliqda, qayd etilgan siyosat ostida berilgan manzil bilan qabul qilinganini aniqlaydi, lekin kim qaysi sahifani o'qiganini aniqlay olmaydi, chunki u so'rovni hech qachon ko'rmagan.
Yig'ishni loyihalashdan oldin kuzatuvga nom bering. Tashrif buyurilgan sayt nomi bilan atalgan, lekin aslida hal qilingan nomni saqlaydigan maydon kelajakdagi xato, qulaylik emas. Maydon nomlari ularni tanlagan odamlardan uzoqroq yashaydi, shuning uchun xulosa emas, dalilni tavsiflaydigan nomlarni tanlang.
Har bir yozuv nimani qo'llab-quvvatlay oladi va nimani yo'q
Deyarli har bir audit loyihasida to'rt turdagi yozuv uchraydi va har biri boshqa savolga javob beradi. Ularni hisobotda ham, quvurda ham alohida saqlang, chunki ularni aralashtirish himoya qilinadigan xulosani sharmandali holga keltirishning yo'lidir.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Oxirgi ustunni o'rtadagidek diqqat bilan o'qing. Oqim yozuvi manzillar va portlarni tavsiflaydi, manzilning teskari qidiruvi brauzer ishlatgan nomni qayta tiklamaydi, chunki bitta manzilda ko'plab bog'liq bo'lmagan saytlar joylashishi mumkin. Resolver so'rovi savol berilganini isbotlaydi, sahifa ko'rsatilganini emas. TLS muzokaralari paytida ko'rinadigan xost nomi ham shifrlangan so'rov yo'li emas.
Bulardan har biri haqiqiy kuzatuv va hech biri odamlar taxmin qiladigan kuzatuv emas. O'zining shifrlangan resolverida qat'iy turgan brauzer kuzatuv doirasidan tashqarida bo'ladi va tahlil jurnal hech qachon ko'rmagan narsani qaytara olmaydi. Bu bo'shliq hisobotda izoh emas, aniq cheklov sifatida bo'lishi kerak.
Taxminiy qidiruvlar va keshdan olingan javoblar
Brauzerlar nomlarni oldindan hal qiladi, ba'zan hech narsa yuklamasdan ham. Ular keshdan javob beradi va siz kuzatayotgan resolverga yangi so'rov yubormaydi, ya'ni so'rov yo'qligi tashrif yo'qligi degani emas. Ikkala xatti-harakat ham DNS jurnali bilan ko'rish tarixi o'rtasidagi sodda tenglamani buzadi.
DNS over HTTPS ikkinchi chegarani qo'shadi: o'z resolveri bo'lgan brauzer yoki mehmon dastur tashkilot jurnaliga hech narsa so'ramaydi. Aniq tranzaksiyalar faqat dasturning o'z hodisalaridan yoki siz aniq qo'llab-quvvatlaydigan jurnalga ega proksidan keladi. Oddiy HTTPS CONNECT tunnel proksiga ichkaridagi sahifa yo'llari haqida hech qanday ko'rinish bermaydi. Tarmoqqa egalik qilish dasturning ishonch modelini jimgina almashtirishga ruxsat emas.
Manzil sessiyaga tegishli, shaxsga emas
Tunnel diapazonidagi manzilni olib yuruvchi oqim yozuvi javob emas, boshlang'ich nuqtadir. O'sha manzil va vaqt belgisini o'sha paytda faol bo'lgan sessiya tayinlash bilan bog'lang, chunki manzil bir soatdan keyin boshqa sessiyaga berilishi mumkin. Statik manzillash bu bog'lanishni saqlashning bir yo'li, yagona yo'li emas.
Tarjima bosqichi sensorning yuqorisida bir nechta qurilmani bitta manba manzilga birlashtirsa, bog'lash faqat umumiy shlyuz sessiyasini nomlay oladi. Umumiy hisob yoki bir necha kishi ishlatadigan sertifikat tarmoq ma'lumotlari qanchalik to'liq ko'rinmasin, atributsiyani cheklaydi. Ikkalasi ham hisobotda keyingi eslatmalar emas, cheklovlar sifatida bo'lishi kerak.
Vaqt mintaqasi, soat manbasi, kuzatuv nuqtasi va ular orasidagi har bir tarjima chegarasini yozib oling. Yo'qlik ham borlik kabi e'tiborga loyiq, chunki yo'q yozuv oqim yozuvi muddati o'tganini, sensor paketni hech qachon ko'rmaganini yoki dastur jurnali o'chirilganini anglatishi mumkin.
Belgilangan maqsad uchun loyihalang, so'ng quvurni isbotlang
Savol belgilangandan so'ng, qaysi maydonlar kerakligini, kim o'qishi mumkinligini va qancha saqlanishini aniqlang. Saqlash arzon deb ko'proq yig'ish tekshiruvdan uzoqroq yashaydigan majburiyat yaratadi. RFC 6973 dagi maxfiylik modeli korrelyatsiya, noto'g'ri atributsiya va ortiqcha yig'ishni keyingi o'y emas, loyihalash muammosi deb biladi.
Xaritalash va yozuvlarni bitta ob'ekt sifatida himoya qiling, chunki har biri yakka holda juftlikdan ancha kam sezgir. So'ngra loyihani yaratishga ruxsat berilgan va siz allaqachon tushunadigan faoliyatga qarshi tekshiring, hisobot tayanadigan eng kichik so'rovdan foydalanib. Ma'lum hodisani qayta yarata olmaydigan quvur noma'lum hodisani ham qayta yaratmaydi. Dalil qo'llab-quvvatlaydigan hodisani, dalil ruxsat bergan so'zlar bilan xabar qiling va kattaroq xulosaga o'quvchi o'zi kelsin.
Cheklovlarni xulosa yoniga yozing: nima bog'landi, nima tarjima qilindi va qaysi jurnal jim qoldi. O'z chegaralarini aytadigan xulosa o'ziga ishongan xulosa dosh bera olmaydigan ko'rikdan o'tadi. Dalil bilan dalil haqidagi hikoya o'rtasidagi farq shu.