Lưu trữ nhật ký VPN: gắn với sự cố, không phải với một con số
Việc lưu trữ tuân theo sự cố, nội dung và chính sách, không theo một thời hạn chung. Tìm mọi bản sao, dừng thu thập chi tiết và giữ một biên bản ngắn.
Không ai thực sự hỏi nên giữ nhật ký VPN bao lâu; họ hỏi nhật ký dùng để làm gì, và câu trả lời cho điều đó quyết định ngày. Từ một sự cố có thể ra hai tệp có thời hạn khác nhau, và coi chúng như một chính sách duy nhất tạo ra cả việc lưu trữ quá mức lẫn mất bằng chứng. Một bản xuất gỡ lỗi được ghi lại khi chưa rõ nguyên nhân không phải là cùng một hiện vật với một dòng trong kho giám sát. Hãy bắt đầu từ mục đích, rồi chọn ngày.
Trả lời bốn câu hỏi trước khi chọn một ngày
Bốn câu hỏi quyết định một tệp có ở lại hay không: sự cố còn mở không, tệp chứa gì, ai cần đọc nó và chính sách áp dụng yêu cầu gì. Trả lời theo thứ tự đó và ngày lưu trữ tự hiện ra. Lập luận gói gọn trong một bảng:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Khi sự cố còn mở, hãy giữ một bản gốc được bảo vệ để sau này có thể so sánh các sự kiện hoặc trả lời một câu hỏi hỗ trợ, và gán cho nó một người sở hữu và mục đích bằng văn bản. Với bất kỳ ai ngoài nhóm ứng cứu, một đoạn trích ngắn đã biên tập thường là đủ, và dễ bảo vệ hơn nhiều so với bản xuất đầy đủ. Bản gốc và đoạn trích là hai hiện vật riêng biệt với đối tượng riêng biệt, và chính việc gộp chúng lại tạo ra đồng thời việc lưu trữ quá mức và mất bằng chứng. Chính sách đặt ra mức sàn, nên nếu nó đòi hỏi thời gian dài hơn lập luận của bạn thì chính sách thắng.
Kết thúc sự cố bằng biên bản, không phải bằng bản xuất
Viết vào phiếu một biên bản bốn dòng: triệu chứng, ứng dụng khách và phiên bản, dòng lỗi duy nhất đã nhận ra nó, và cách khắc phục. Đừng đính kèm gì khác, vì bản xuất là dành cho bạn và biên bản là dành cho người tiếp theo.
Biên bản cũng có nhiều khả năng được đọc hơn: bản xuất đầy đủ chủ yếu phục vụ người đã ghi lại nó, và người đó đã biết chuyện gì xảy ra. Giữ biên bản ở nơi sự cố tiếp theo sẽ được tìm kiếm, thường nghĩa là phiếu chứ không phải một thư mục đặt tên theo ngày. Số hồ sơ có thể mang tham chiếu nếu biên bản phải truy xuất được mà không lộ định danh kết nối. Nếu vẫn còn câu hỏi mở, bản gốc nằm dưới quy tắc bản sao được bảo vệ ở trên; khi biên bản đã có, mọi thứ khác có thể đi.
Tìm mọi bản sao trước khi xóa một bản
Xem trong thư mục xuất, sau đó trong nhật ký cho khoảng thời gian sự cố, sau đó trong phần đính kèm của phiếu, sau đó trong danh mục sao lưu, sau đó trong kho giám sát. Nếu cùng một định danh kết nối xuất hiện ở nơi thứ năm, bản kiểm kê đã sai. Nhật ký là điều bất ngờ thường gặp, vì nó vẫn tiếp tục thu thập trong khi bạn đang đọc bản xuất.
Hãy dùng đường luân chuyển và xóa được hỗ trợ thay vì tự tay gỡ liên kết tệp. Một tệp còn mở vẫn giữ dung lượng sau khi mục trong thư mục biến mất, nên việc xóa trông hoàn tất mà không giải phóng gì. Đó là lỗi lưu trữ khoác nhãn quyền riêng tư, và nó không đáp ứng mục tiêu nào trong hai mục tiêu.
Dừng thu thập trước khi xác minh việc xóa
Dừng việc thu thập chi tiết tạm thời thông qua ứng dụng sở hữu nó, không phải bằng cách sửa tệp đầu ra của ứng dụng. Một thiết lập gỡ lỗi bị lãng quên vẫn tiếp tục ghi các bản ghi mới sau khi bản cũ bị xóa, điều này âm thầm hủy bỏ công việc bạn vừa làm. Hãy kiểm tra mức ghi nhật ký thực tế chứ không phải giá trị bạn nhớ đã đặt. Sau đó xác nhận rằng những gì còn lại được bảo vệ và chỉ những người dự định mới truy xuất được.
Nguyên tắc là tối giản dữ liệu: giữ những gì một mục đích đã nêu cần, trong thời gian cần thiết, và không hơn thế, như hướng dẫn về quyền riêng tư RFC 6973 trình bày. Một tệp được giữ mà không có mục đích là một nghĩa vụ có dấu thời gian. Quyết định hoàn tất khi bạn có thể nêu tên tệp, mục đích, người sở hữu và ngày kết thúc.