Đọc log, đừng đoán sự cố

Biết dữ liệu nói về điều gì

Log là bản ghi sự kiện do một thành phần tạo ra. Trước khi diễn giải, cần biết thành phần ghi ở đâu, lúc nào và trường dữ liệu có nghĩa gì. Một nhãn “allow” trong log quyết định quyền không đồng nghĩa chắc chắn người dùng đã nhận đủ nội dung tài liệu.

Ví dụ sau hoàn toàn giả lập. Dấu thời gian dùng UTC; actor là mã tài khoản, không phải bằng chứng chắc chắn về một cá nhân. policy là phiên bản chính sách; result ở sự kiện access_decision là kết quả kiểm tra quyền, không phải trạng thái tải file.

Dữ liệu giả lập · không có thông tin cá nhân thật

time,actor,event,resource,result,policy
2026-10-28T09:00:00Z,user-B,login,-,success,-
2026-10-28T09:02:00Z,user-B,access_decision,draft-A,deny,v3
2026-10-28T09:03:00Z,user-B,access_decision,draft-A,allow,v4

Ví dụ đã giải: có hai bản ghi quyết định khác nhau cho cùng tài khoản và tài nguyên, gắn với hai phiên bản chính sách. Chưa biết v4 thay đổi điều gì, có thay đổi nhóm hay không, và log có đầy đủ hay không. Vì vậy chưa đủ để nói user-B đã khai thác lỗ hổng.

Tách quan sát khỏi cách giải thích

Ghi đủ để điều tra, tránh ghi bí mật

Một thiết kế log hữu ích giúp liên hệ thời gian, nguồn, chủ thể và thao tác. Nhưng ghi mọi thứ có thể tạo thêm rủi ro. Access token hoặc bí mật của phiên đăng nhập là dữ liệu mà người giữ nó có thể dùng để sử dụng quyền truy cập tương ứng. Không nên ghi nguyên vẹn những bí mật này hoặc mật khẩu vào log chỉ để tiện tìm lỗi (debug).

• Xác định câu hỏi điều tra trước khi bổ sung trường.
• Dùng mã tương tác để liên hệ sự kiện khi phù hợp; không dùng bí mật làm mã tra cứu.
• Giới hạn quyền đọc log và thời gian lưu theo mục đích.
• Kiểm tra múi giờ, ngữ nghĩa kết quả và khả năng thiếu/sửa bản ghi trước khi suy diễn.

Biện pháp không thay thế nhau

Logging hỗ trợ quan sát và phát hiện. Nó không tự chặn một yêu cầu sai quyền. Một hệ thống có log chi tiết vẫn có thể thực thi authorization sai.

Tài liệu gốc để đối chiếu khái niệm: OWASP — Logging Cheat Sheet. Các nguồn còn lại được nêu trong metadata để reader hiển thị cùng phạm vi kiểm chứng.