VPN foydalanuvchi nomi jurnal quvuridan qayerda yo'qoladi?
Jurnal maxfiyligi nazoratini o'zgartirishdan oldin shlyuz hodisasi, yig'uvchining xom nusxasi, indekslangan hodisa va qidiruv vaqtidagi maydonni solishtiring.
Sessiyalar boshqaruv panelida ko'rinadi, foydalanuvchi nomi ustuni esa bo'sh qoladi va birinchi taassurot tahlilchini ayblashdir. Bu taassurot qiymat yo'qolgan bo'lishi mumkin bo'lgan uchta oldingi bosqichni o'tkazib yuboradi. Shlyuz identifikatsiyani siyosat bo'yicha yashirishi mumkin, qabul qilish qoidasi uni indekslashdan oldin o'chirishi mumkin, qidiruv vaqtidagi ajratib olish esa uni nomlashga shunchaki qodir bo'lmasligi mumkin. Tuzatish qaysi chegarani mas'ul deb isbotlay olishingizga bog'liq, shuning uchun foydali ish konfiguratsiya emas, solishtirishdir.
Panel emas, bitta hodisadan boshlang
Bitta autentifikatsiya hodisasini tanlang va uni nima identifikatsiya qilishini yozing: shlyuz modeli va versiyasi, autentifikatsiya usuli, hodisa identifikatori, vaqt belgisi va manba manzili. Foydalanuvchi nomini odam yozganidek, katta va kichik harflar bilan qo'shing, chunki harf registriga sezgir qidiruv mavjud maydonni yashirishi mumkin. O'sha hodisani har bir keyingi solishtirish uchun etalon deb oling.
Hodisa turlari bir xil sxemani bo'lishmaydi. Muvaffaqiyatsiz urinish, kliyentsiz muvaffaqiyatli kirish va tunnelning qayta ulanishi har biri boshqa maydonlar hosil qilishi mumkin, ba'zi shlyuzlar esa urinish foydalanuvchi autentifikatsiyasiga yetmaganida identifikatsiyani tushirib qoldiradi. Shuning uchun bitta hodisa turida bo'sh ustun quvur muammosining kuchsiz dalilidir.
Haqiqiy xodim hisobi o'rniga tasdiqlangan sinov identifikatsiyasi bilan ishlang va solishtirishni jurnal ma'lumotlariga allaqachon qo'llaniladigan kirish qoidalari ichida saqlang. Faqat namuna olish uchun batafsil autentifikatsiya jurnalini keng yoqish o'lchamoqchi bo'lgan tizimning o'zini o'zgartiradi.
To'rt chegarani tartib bilan solishtiring
Qiymat to'rt nuqtadan birida yo'qolishi mumkin. Har bir nuqtaning egasi ham, tuzatishi ham boshqa.
| Boundary | What to compare | A gap means |
|---|---|---|
| Gateway event view | The device's own event display and logging policy | The identity was masked or never emitted |
| Collector receive | The raw event as received, before parsing | Transport, filter or source selection dropped it |
| Index-time pipeline | Transforms applied before storage | Redaction or rewriting removed the value |
| Search-time extraction | The field name and regex used by the query | The label does not match the stored key |
Qiymat yo'qoladigan birinchi chegarada to'xtang. Qurilma ko'rinishi bilan xom nusxa o'rtasidagi nomuvofiqlik transport yoki yig'uvchi konfiguratsiyasiga ishora qiladi; u yerda mos kelish, lekin indekslangan hodisada qiymat yo'qligi o'zgartirishga ishora qiladi; indekslangan hodisada bor, ammo panelda ko'rinmaydigan qiymat ajratib olish yoki so'rovga ishora qiladi.
Bu tartib muhim, chunki har bir keyingi bosqich faqat axborotni yo'qotishi mumkin, uni hech qachon tiklay olmaydi. Muntazam ifoda oldingi bosqich o'rin egallovchi bilan almashtirgan satrni qaytara olmaydi, maxfiylik sozlamasi esa hech qachon yuborilmagan qiymatni tushuntira olmaydi.
Manbada yashirish siyosatdir, tahlilchi xatosi emas
Cisco'ning ASA jurnal hujjati foydalanuvchi nomini yashirishni sozlanadigan xatti-harakat sifatida tasvirlaydi, shu jumladan noto'g'ri yoki noma'lum foydalanuvchi nomlari qanday ko'rsatilishini ham. Shuning uchun manba hodisasidagi yashirilgan identifikatsiya maxfiylik siyosati talab qilgan narsaning o'zi bo'lishi mumkin va uni tahlil xatosi deb qabul qilish nazoratni zaiflashtiruvchi talabga olib keladi.
Aniq ko'rinish versiya va xabar turiga bog'liq. Bir hodisa o'rin egallovchi tashishi mumkin, boshqasi maydonni butunlay tushirib qoldirishi mumkin, autentifikatsiya xatosi esa hech qachon ismni o'z ichiga olmasligi mumkin. Har bir yo'qolgan identifikatsiyaga eski xato hisobotini qo'llash o'rniga aniq hodisa uchun hujjatlashtirilgan xatti-harakatni tekshiring.
Yashirish qasddan bo'lsa, savol maydonni qanday tiklashdan audit talabini boshqa yo'l bilan qondirish mumkinligiga o'zgaradi. Sessiya identifikatorlari, kichikroq guruh qo'lidagi boshqariladigan identifikatsiya xaritasi yoki torroq ruxsat etilgan hodisa oqimi ko'pincha har bir sinalgan foydalanuvchi nomini har bir jurnal o'quvchisi oldiga qo'ymasdan ehtiyojni qondiradi.
Indekslashdan oldingi anonimlashtirishni qaytarib bo'lmaydi
Splunk'ning hodisalarni qayta ishlash haqidagi hujjati anonimlashtirishni indekslashdan oldin ma'lumotni qayta yozadigan yoki olib tashlaydigan sed ifodalari va o'zgartirishlar orqali tasvirlaydi. Aynan o'sha joy muhim: xom hodisa kirishda o'zgartiriladi, shuning uchun qidiruv vaqtidagi ajratib olishga topadigan hech narsa qolmaydi.
Indekslash vaqtidagi tahrirlash va qidiruv vaqtidagi maydon ajratib olish turli muammolarni hal qiladi. Tahrirlash qiymatni kim ko'rishi mumkinligini cheklaydi; ajratib olish faqat so'rov qaysi ismni ishlatishini hal qiladi. Xeshlash korrelyatsiyani saqlaydigan oraliq variant, ammo kichik foydalanuvchi nomlari fazosidagi barqaror xesh, kimdir unga qarshi nomzod ismlarni sinab ko'ra olsa, baribir identifikatsiya qiladi.
Agar saqlangan hodisa hali ham identifikatsiyani o'z ichiga olsa, muammo quyida: manba turi, satr bo'linishi, ajratgichlar bilan ishlash, maydon taxalluslari yoki so'rovning o'zi. Bular oddiy tahlil tuzatishlari va ular maxfiylik chegarasiga tegmaydi.
Chegaraga mos tuzatishni tanlang
Javobni uch shart hal qiladi. Birinchidan, maxfiylik siyosati identifikatsiyani chiqarib tashlashni maqsad qilganmi? Ikkinchidan, audit yoki tekshiruv jarayoniga identifikatsiya, taxallus yoki faqat sessiya kerakmi? Uchinchidan, qiymat qaysi chegarada kerak — yig'ish, saqlash yoki taqdim etish?
Agar siyosat chiqarib tashlashni maqsad qilsa, nazoratni emas, talab yoki taqdimotni o'zgartiring. Siyosat identifikatsiyaga ruxsat bersa, lekin yig'ish uni tushirib qoldirsa, yig'uvchini tuzating va xom hodisani tasdiqlang. Saqlash buzilmagan bo'lsa, ajratib olishni tuzating va uni boshida qayd etgan tasdiqlangan hodisaga qarshi sinab ko'ring.
Tekshiruvni o'zgartirish yozuvida chegarani nomlash bilan yakunlang: manbada yashirilgan, qabul paytida olib tashlangan yoki ajratib olishdan o'tkazib yuborilgan. O'sha bitta gap keyingi muhandisga birinchi navbatda qayerga qarashni aytadi va panel shikoyatining jimgina o'chirilgan maxfiylik funksiyasiga aylanishini oldini oladi.