Nhật ký VPN có thể cho thấy lịch sử duyệt web không? Bằng chứng chứng minh điều gì
Nhật ký phiên, truy vấn trình phân giải và bản ghi luồng chứng minh những điều khác nhau. Chọn câu hỏi, nối danh tính với thời gian, rồi chỉ nêu điều đã được chứng minh.
Hai câu hỏi kiểm toán nghe có vẻ giống nhau và đòi hỏi bằng chứng khác loại. Phiên nào đã liên hệ với địa chỉ này có thể trả lời từ bản ghi kết nối và luồng. Người nào đã mở trang này thường thì không, ít nhất là không từ những bản ghi đó. Chọn công cụ thu thập trước khi chọn câu hỏi là cách một nhóm mạng cuối cùng trình bày tên máy chủ như lịch sử duyệt web.
Bắt đầu từ sự kiện mà cuộc kiểm toán phải xác lập
Viết câu hỏi thành một câu có chủ ngữ, động từ và thời điểm. Chỉ riêng kỷ luật đó đã phơi bày khoảng cách giữa bản ghi phiên và lượt xem trang. Nhật ký phiên xác lập rằng một danh tính đã được chấp nhận, trong một khoảng thời gian, với địa chỉ được cấp dưới một chính sách đã ghi, và nó không thể xác lập ai đã đọc trang nào vì nó chưa bao giờ thấy yêu cầu.
Dán nhãn quan sát trước khi thiết kế việc thu thập. Một trường được đặt tên theo trang đã truy cập nhưng thực tế lưu tên đã phân giải là một lỗi tương lai, không phải một tiện ích. Tên trường sống lâu hơn những người đã chọn chúng, nên hãy chọn những tên mô tả bằng chứng chứ không phải kết luận.
Mỗi bản ghi có thể và không thể chứng minh điều gì
Bốn loại bản ghi xuất hiện trong gần như mọi thiết kế kiểm toán, và mỗi loại trả lời một câu hỏi khác nhau. Hãy giữ chúng tách biệt trong báo cáo cũng như trong đường ống, vì trộn lẫn chúng là cách một phát hiện có thể bảo vệ trở nên đáng xấu hổ.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Đọc cột cuối cẩn thận như cột giữa. Bản ghi luồng mô tả địa chỉ và cổng, và tra cứu ngược một địa chỉ không dựng lại tên mà trình duyệt đã dùng, vì một địa chỉ có thể lưu trữ nhiều trang không liên quan. Truy vấn trình phân giải chứng minh rằng một câu hỏi đã được đặt, không phải rằng một trang đã được hiển thị. Tên máy chủ nhìn thấy trong quá trình thương lượng TLS cũng không phải đường dẫn yêu cầu đã mã hóa.
Mỗi điều trong số đó là một quan sát thật, và không điều nào là quan sát mà người ta giả định. Một trình duyệt khăng khăng dùng trình phân giải mã hóa riêng nằm ngoài phạm vi giám sát, và phân tích không thể khôi phục điều mà việc ghi nhật ký chưa từng thấy. Khoảng trống đó thuộc về báo cáo như một giới hạn được nêu rõ, không phải chú thích cuối trang.
Tra cứu phỏng đoán và câu trả lời từ bộ nhớ đệm
Trình duyệt phân giải tên trước, đôi khi không tải gì cả. Chúng cũng trả lời từ bộ nhớ đệm mà không gửi truy vấn mới đến trình phân giải bạn đang theo dõi, nghĩa là không có truy vấn không phải là không có lượt truy cập. Cả hai hành vi đều phá vỡ phương trình ngây thơ giữa nhật ký DNS và lịch sử duyệt web.
DNS over HTTPS thêm một ranh giới thứ hai: trình duyệt hoặc ứng dụng khách có trình phân giải riêng không bao giờ hỏi trình ghi nhật ký của tổ chức bất cứ điều gì. Các giao dịch chính xác chỉ đến từ sự kiện của chính ứng dụng hoặc từ một proxy mà bạn hỗ trợ ghi nhật ký một cách rõ ràng. Một đường hầm HTTPS CONNECT thông thường không cho proxy thấy bất kỳ đường dẫn trang nào bên trong. Sở hữu mạng không phải là quyền thay thế mô hình tin cậy của ứng dụng một cách lặng lẽ.
Địa chỉ thuộc về một phiên, không thuộc về một người
Bản ghi luồng mang địa chỉ trong dải đường hầm là điểm khởi đầu, không phải câu trả lời. Nối địa chỉ và dấu thời gian đó với việc cấp phiên đang hoạt động tại thời điểm đó, vì địa chỉ có thể được cấp cho một phiên khác một giờ sau. Địa chỉ tĩnh là một cách giữ mối liên hệ đó, không phải cách duy nhất.
Khi một bước dịch gộp nhiều thiết bị thành một địa chỉ nguồn phía trên cảm biến, việc nối chỉ có thể gọi tên phiên cổng chung. Một tài khoản dùng chung hoặc chứng chỉ được nhiều người dùng giới hạn việc quy gán dù dữ liệu mạng trông đầy đủ đến đâu. Cả hai đều thuộc về báo cáo như những giới hạn, không phải những lưu ý để sau.
Ghi lại múi giờ, nguồn đồng hồ, điểm quan sát và mọi ranh giới dịch ở giữa. Sự vắng mặt đáng được chăm sóc như sự hiện diện, vì một bản ghi thiếu có thể nghĩa là một mục luồng đã hết hạn, một cảm biến chưa từng thấy gói tin hoặc một nhật ký ứng dụng đã bị tắt.
Thiết kế cho mục đích đã nêu, rồi chứng minh đường ống
Khi câu hỏi đã cố định, hãy xác định trường nào cần, ai được đọc và giữ trong bao lâu. Thu thập nhiều hơn vì lưu trữ rẻ tạo ra một trách nhiệm tồn tại lâu hơn cuộc điều tra. Mô hình riêng tư trong RFC 6973 xem tương quan, quy gán sai và thu thập không cần thiết là vấn đề thiết kế, không phải suy nghĩ sau.
Bảo vệ ánh xạ và các bản ghi như một đối tượng, vì mỗi thứ riêng lẻ kém nhạy cảm hơn nhiều so với cặp. Sau đó kiểm chứng thiết kế trên hoạt động mà bạn được phép tạo ra và đã hiểu, dùng truy vấn nhỏ nhất mà báo cáo sẽ dựa vào. Một đường ống không tái tạo được sự kiện đã biết cũng sẽ không tái tạo được sự kiện chưa biết. Báo cáo sự kiện mà bằng chứng ủng hộ, bằng những từ ngữ mà bằng chứng cho phép, và để người đọc tự đi đến kết luận lớn hơn.
Viết các giới hạn bên cạnh phát hiện: điều gì đã được nối, điều gì đã được dịch và nhật ký nào đã im lặng. Một phát hiện nêu rõ ranh giới của chính nó đứng vững qua một cuộc rà soát mà một bản tóm tắt tự tin không đứng vững. Đó là khác biệt giữa bằng chứng và một câu chuyện về bằng chứng.