Nhật ký VPN có thể và không thể chứng minh điều gì về việc duyệt web

Trước khi chọn công cụ thu thập nhật ký, hãy quyết định sự kiện nào mà cuộc kiểm toán phải xác lập. Hỏi phiên VPN nào đã liên hệ với một địa chỉ đích là câu hỏi khác với hỏi ai đã mở một trang cụ thể. Cả hai đòi hỏi các bản ghi khác nhau, cách nối khác nhau và mức độ tin cậy khác nhau. Nhật ký kết nối OpenVPN trả lời câu thứ nhất và không thể trả lời câu thứ hai.

Đặt tên sự kiện trước khi chọn công cụ thu thập

Bản ghi phiên cho thấy một danh tính được chấp nhận, thời điểm bắt đầu và kết thúc và một địa chỉ mà máy chủ đã cấp theo chính sách của nó. Nhật ký trình phân giải cho thấy một tên đã được hỏi tại trình phân giải đó. Bản ghi luồng cho thấy địa chỉ, cổng, giao thức và thời gian, còn nhật ký ứng dụng cho thấy giao dịch mà ứng dụng đó thực sự xử lý. Không cái nào trong bốn cái thay thế cái khác.

Mỗi cái xác lập một sự kiện và để những cái khác mở. Việc viết câu hỏi ra trước giúp bạn không dựng nên một câu chuyện mà dữ liệu không thể chống đỡ.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Lệnh thứ nhất hiển thị các sự kiện phiên từ nhật ký dịch vụ. Lệnh thứ hai in danh sách máy khách hiện tại kèm địa chỉ được cấp, đó là ánh xạ mà việc nối trong kiểm toán phụ thuộc vào. Lệnh thứ ba hiển thị trạng thái luồng trực tiếp, chỉ hữu ích khi kết nối còn tồn tại.

Tìm kiếm không phải truy cập

Trình duyệt phân giải tên một cách suy đoán, lưu đệm câu trả lời và dùng lại chúng mà không hỏi lại trình phân giải đang bị giám sát. Vì vậy một tên trong nhật ký trình phân giải chứng minh một lần tìm kiếm, không phải một lần truy cập. DNS qua HTTPS mở rộng khoảng trống đó, bởi một trình duyệt được cấu hình cho nó gửi câu hỏi đến nơi mà trình ghi nhật ký thông thường của bạn không bao giờ thấy.

Địa chỉ đích tự chúng không tốt hơn. Một địa chỉ có thể lưu trữ nhiều trang không liên quan, DNS ngược là phỏng đoán chứ không phải tái dựng, và một tên máy chủ nhìn thấy trong quá trình bắt tay TLS không phải là đường dẫn yêu cầu bên trong phiên mã hóa.

Đối với giao dịch chính xác, bạn cần bản ghi sự kiện của chính ứng dụng hoặc một thiết kế proxy được hỗ trợ rõ ràng cho việc ghi nhật ký. Đường hầm CONNECT cho proxy biết đích đến và khối lượng, không cho biết đường dẫn trang bên trong. Quyền truy cập quản trị vào mạng không phải là giấy phép âm thầm thay thế mô hình tin cậy của ứng dụng.

Nối danh tính và thời gian trước khi nêu tên một người

Bản ghi luồng mang một địa chỉ nguồn nội bộ không có ý nghĩa gì cho đến khi địa chỉ đó được nối với một phiên vào cùng thời điểm. Địa chỉ được tái sử dụng, và cùng một địa chỉ có thể đã thuộc về một phiên khác một giờ trước. Gán tĩnh là một cách giữ mối liên hệ, không phải cách duy nhất.

Ranh giới dịch làm suy yếu việc nối thêm. Nếu nhiều thiết bị đã chia sẻ một địa chỉ nguồn trước điểm quan sát của bạn, điều tốt nhất bạn có thể xác định là phiên cổng chung chứ không phải một thiết bị. Một chứng chỉ hoặc tài khoản được nhiều người dùng có cùng tác dụng.

Ghi lại múi giờ, nguồn đồng hồ, điểm quan sát và từng bước dịch. Các bản ghi thiếu có thể nghĩa là một mục luồng đã hết hạn, một cảm biến bị bỏ qua hoặc một nhật ký ứng dụng đã bị tắt. Sự vắng mặt không phải bằng chứng rằng không có gì xảy ra.

Sau đó xác định các trường tối thiểu, người đọc được phép và thời hạn lưu giữ cho mục đích đã nêu. Tương quan và quy kết sai là vấn đề thiết kế chứ không phải suy nghĩ muộn, và siêu dữ liệu nhận diện con người xứng đáng được bảo vệ như ánh xạ danh tính mà nó phụ thuộc vào.

Kiểm tra cuộc kiểm toán bằng hoạt động bạn kiểm soát

Tạo lưu lượng được phép mà bạn đã biết phiên và ứng dụng, rồi kiểm tra xem mỗi bản ghi thực sự bắt được gì. Thực hiện một lần tìm kiếm mà không tải trang, tải một trang từ bộ đệm và mở một kết nối qua proxy, và xem những sự kiện nào xuất hiện.

Báo cáo sự kiện mà bằng chứng ủng hộ và nói rõ nó không bao phủ điều gì. Một bản ghi khiêm tốn với phạm vi được nêu vẫn đứng vững qua đánh giá; một lịch sử duyệt web tham vọng ghép từ phỏng đoán thì không.