Logování aktivity uživatelů v síti

[Julius]

V síti máme cca. 150 počítačů, které přistupují na internet + wifi sít na které je asi 150 uživatelů.
Wifi síť je za svým vlastním natem a používá jednu interní ip adresu.
Tohle vše navenek vystupuje pod jednou veřejnou IP (logicky).

Brána, která nás hlídá, loguje přístupy na weby pomocí IP adres.
Wifi je logována pod jednou ip(díky natu).

Dnes byl vznesen dotaz, zda-li by bylo možné dohledat zda-li někdo navštívil určitou stránku rok zpět.

A je problém.
Proxy brána, která je transparentní loguje přístup k webu jenom pomocí ip. Takže pokud uživatel přistoupí na stránku z wifi sítě, je pro mě prakticky nemožné určit, kdo přesně to byl. Vím jenom, že to byl někdo z wifi sítě(vidím jenom tu natovou IP).

Jak bych tohle mohl ošetřit?
Napadlo mě centralizovat logy na jeden syslog server kam by i router co natuje síť ukládal pohyb svých natovaných adres, čímž bych asi dosáhl kýženého výsledku.
Nebo existují ještě nějaké jiné techniky, než vhodně nastavený proxy server?
Je nějaký zákon, který ukládá povinnost logovat aktivitu uživatelů na síti?

[Reklama]

[j]

a) zrusit ten nesmyslny NAT
b) zakon ti naopak zakazuje sledovat zamestnance, pokud to neni z povahy jeji prace nezbytne nutne. Vyklady ( i soudu) se ruzni, ale pocitej s tim, ze na to muzes pekne dojet. Logy muzes porizovat pro technicke ucely, ale ne jako zaznam komunikace - tim se dopoustis trestneho cinu nezakonneho odposlechu.

Navic si nedovedu moc predstavit skladovani logu za rok a jeste v tom neco hledat ... mam ciste pro technicky ucely logy za 14 jen mailserver a je toho cca 500MB, kdybych mel logovat veskerej traffic, tak na to potrebuju extermi pole.

[Mirek Prýmek]

Napadlo mě centralizovat logy na jeden syslog server kam by i router co natuje síť ukládal pohyb svých natovaných adres, čímž bych asi dosáhl kýženého výsledku.

To je asi nejjednodušší řešení.

Nebo existují ještě nějaké jiné techniky, než vhodně nastavený proxy server?

Ještě aspoň teoreticky připadá v úvahu netransparentní proxy s autentizací a zakázání webového provozu ven na firewallu. Pokud máš kontrolu nad konfigurací všech počítačů, můžeš jim konfiguraci proxy vnutit a uživatelé o tom ani nemusí vědět. Ty podmínky jsou ale pro málo koho splnitelné...

b) zakon ti naopak zakazuje sledovat zamestnance, pokud to neni z povahy jeji prace nezbytne nutne.

Můžu vědět, jaký to má být zákon? Takhle to doslova přece není, ne? To by si zaměstnavatel nemohl ani odlišit legitimní provoz od nelegitimního.

Logy muzes porizovat pro technicke ucely, ale ne jako zaznam komunikace - tim se dopoustis trestneho cinu nezakonneho odposlechu.

Opět - můžu vědět, jaký paragraf trestního zákoníku by tenhle trestný čin měl definovat. Navíc:
1. zaměstnavatel může zaměstnance upozornit, že ta a ta komunikace je tak a tak odposlouchávána
2. zaměstnanec nemá co používat prostředky zaměstnavatele ke svým osobním účelům (jejichž obsah je chráněn legislativou na ochranu osobnosti)
3. není zjišťován *obsah* komunikace, ale pouze její směr (ne *co* říkám, ale *komu* to říkám)

[alfi]

b) zakon ti naopak zakazuje sledovat zamestnance, pokud to neni z povahy jeji prace nezbytne nutne.

tohle se myslím liší podle toho, kdo jsou ti uživatelé. u zaměstnanců je to možná lehce sporné (zrovna http logy z proxy ale má asi kdekdo - otázka spíš bude, jak dlouho a k čemu je může použít), u veřejného ISP to ale zákon naopak jednoznačně vyžaduje, viz např. http://www.lupa.cz/clanky/data-retention-se-vraci-a-pritvrzuje/

[smoofy]

b) zakon ti naopak zakazuje sledovat zamestnance, pokud to neni z povahy jeji prace nezbytne nutne.

Kazdy zamestnavatel tohle muze jednoduse vyresit dodatkem ve smlouve a vyreseno. Zadnej zakon ti toto nezakazuje, jen udava, ze o tom musi zamestnanec vedet a byt na to upozornen. Stejne je to napriklad s CCTV.

Samozrejme logovat takoveto mnozstvi komunikace bude vyzadovat obrovske diskove pole

[Reklama]

[Petr]

Nejjednodussi je uzivatele na proxy overovat pomoci prihlasovaciho jmena a hesla do site (predpokladam, ze kazdy zamestnanec zna pouze svoje). Zadny jiny ucet nez uzivatelsky to nesmi na net pustit.

Z komunikace staci logovat pouze uzivatele, zdrojovou a cilovou adresu, pripadne adresu stranky. Policie obvykle potrebuje pouze vedet, kdo konkretne (uzivatel, IP) pristupoval na jimi specifikovanou adresu v konkretni cas.

Co se tyce logovani, staci logovat pouze ony udaje, vic neni potreba. Je to max 10GB rocne pro nekolik stovek uzivatelu. Ono to takhle tak nevypada, ale ve chvili kdy Policie resi zavaznou trestnou cinnost (honi napr. pedofila) tak lze bud ty logy poskytnout, nebo si nechat zabavit vsechny servery.

[Fantomas]

Na vsech wifi ap vypnout nat a strcit za vlastni router, ktery bude vsechno logovat. Centralni router s verejnou ip muze rovnez vsechno logovat a budes mit prehled o vsem. Ve firme bych legalnost logovani vubec neresil. Akorat ty logy budou zabirat hodne mista. Obcas se hodi mit poruce log z konkretniho dne, pak clovek aspon nemusi dumat jak kdo a proc.
Ale stejne, neni to zbytecne moc starosti kvuli toho, ze vas reditel zapomnel adresu toho bezva porno serveru? :-D

[arpanet]

pred ten nat strcit transparetni bridge a na nem spustit urlsnarf (patri do baliku dsniff) a ukladat ip a url do souboru,
 po dnech rotovat a zabzipovat stare,

pokud mezi temi apcky a natem je nejaky rozumny switch co umi port monitoring, tak mirror provozu pred natem na jiny port switche a tam delat totez (nebude mit 1 bridge na kterem je cela wifi zavisla,switche maji mensi tendenci se rozbit nez PCko)

pokud apcka jsou linuxova, (openwrt ...., tak ten urlsnarf pustit na nich a posilat netcatem do nejakeho souboru)

pokud je tam neco co umi netflow  pred tim nez se to zanatuje tak mate vyhrano ...

pokud ty apcka ale umi openvpn/ipsec/nebo alespon pptp  .... uzavrit z nich VPN do end routeru.
Vyhnete tomu ze mate provoz odnatovany na jednu IP .... a v end routeru logovat ......

nevim muze byt sousta reseni, jen je domyslet do konce aby si clovek nezadelal na dalsi trable a sel
cestou kterou alespon trochu zna....

[M.]

Pokud to je firemní prostředí, tak jednoduše, nasadí se proxina, která není transparentní. Firewall tak, že nepustí nic do internetu, jen to co projde proxinou.
Používám takto squid pro firmu. Nastavena autorizace pomocí negotioation/gssapi, negotiation/ntlm a ntlm. Klienti se konfigurují pomocí autokonfigurace, takže když přijdou do firmy, tak jim naskočí proxina automaticky, když odejdou notebookaři domů, tak se vypne (kdo se připojí přes vpn do firmy, opět se mu proxina zapne). Proxina je napojena do AD domény, počítače jsou také v AD doméně, takže se automaticky ověřuje a loguje do access logu kdo to tahá dle aktuálně přihlášeného uživatele u počítače aniž si uživatle v podstatě všimne, že je nějaká proxina (což se hodí hlavně u terminálových serverů, kdy z jedné IP jde naráz X uživatelů, stejně jako u tebe z NATu). 

[j]

Napadlo mě centralizovat logy na jeden syslog server kam by i router co natuje síť ukládal pohyb svých natovaných adres, čímž bych asi dosáhl kýženého výsledku.

To je asi nejjednodušší řešení.

Nebo existují ještě nějaké jiné techniky, než vhodně nastavený proxy server?

Ještě aspoň teoreticky připadá v úvahu netransparentní proxy s autentizací a zakázání webového provozu ven na firewallu. Pokud máš kontrolu nad konfigurací všech počítačů, můžeš jim konfiguraci proxy vnutit a uživatelé o tom ani nemusí vědět. Ty podmínky jsou ale pro málo koho splnitelné...

b) zakon ti naopak zakazuje sledovat zamestnance, pokud to neni z povahy jeji prace nezbytne nutne.

Můžu vědět, jaký to má být zákon? Takhle to doslova přece není, ne? To by si zaměstnavatel nemohl ani odlišit legitimní provoz od nelegitimního.

Logy muzes porizovat pro technicke ucely, ale ne jako zaznam komunikace - tim se dopoustis trestneho cinu nezakonneho odposlechu.

Opět - můžu vědět, jaký paragraf trestního zákoníku by tenhle trestný čin měl definovat. Navíc:
1. zaměstnavatel může zaměstnance upozornit, že ta a ta komunikace je tak a tak odposlouchávána
2. zaměstnanec nemá co používat prostředky zaměstnavatele ke svým osobním účelům (jejichž obsah je chráněn legislativou na ochranu osobnosti)
3. není zjišťován *obsah* komunikace, ale pouze její směr (ne *co* říkám, ale *komu* to říkám)

1) § 182 trestního zákoníku - odposlech se nesmi ani s upozornenim, jednoduse nepripada v uvahu.
2) ano, ale to neznamena, ze pri zajistovani toho porusis ustavu. Zamestnavatel je povinen (ze zakona) zjistovat zda zamestnanec vykonava svou praci radne atd, ale nesmi pri tom sam porusova zakon. Nehlede na to, ze takovym odposlechem muze uplne klidne narusit prava treti osoby, ktere se ta komunikace tyce. A !POZOR! toto se zcela samozrejme tyce i cteni mailu, protoze mail muze obsahovat soukromou komunikaci, technicky nelze odlisit firemni a soukromy mail.
3) zase sme u toho, ty muzes takovy logy porizovat pokud je potrebujes pro !technicke! zajisteni provozu, ale nemuzes je pouzivat proti zamestnancum. Ty samozrejme klidne muzes povolit pristupj jen k vybranym sluzbam, ale proste nesmis tu komunikaci odposlouchavat.

b) zakon ti naopak zakazuje sledovat zamestnance, pokud to neni z povahy jeji prace nezbytne nutne.

Kazdy zamestnavatel tohle muze jednoduse vyresit dodatkem ve smlouve a vyreseno. Zadnej zakon ti toto nezakazuje, jen udava, ze o tom musi zamestnanec vedet a byt na to upozornen. Stejne je to napriklad s CCTV.

Samozrejme logovat takoveto mnozstvi komunikace bude vyzadovat obrovske diskove pole

Viz vejs, nemuze, smlouva neni nad zakonem. Totez plati o kamerach, ty dokonce smis pouzit jen ve zcela konkretnich pripadech - napriklad pokud se pracuje s penezi, ale v bezny kancelari kamera byt vubec nesmi. Dokonce napriklad nesmi byt kamerou hlidana dochazka zamestnancu. A ver ze vim co pisu, protoze sem to s tema birokratama z UOOU resil.

[Mirek Prýmek]

1) § 182 trestního zákoníku - odposlech se nesmi ani s upozornenim, jednoduse nepripada v uvahu.

No a jsme u toho. Nejsem sice právník, ale mám za to, že:

1. tohle se týká *osobní* komunikace

Představ si, že máš obchodního zástupce-zaměstnance, který z firmy odejde. Podle tvé logiky bys nesměl jeho *firemní* maily, adresář kontaktů atd. předat jeho nástupci, leda že by to udělal sám.

Jistě, pokud bude v pracovní době psát někomu ze svého soukromého emailu franta@seznam.cz, nemůžeš na síti odchytit heslo a pročítat si jeho *soukromou* poštu.

2. týká se to komunikace, o které se komunikující domnívají, že je veřejná

- jestliže někdo posílá pohled, pak těžko můžu stíhat pošťačku, která si ho z nudy přečte. Pokud je zaměstnanec upozorněn, že jeho komunikace v práci *není* důvěrná a může být odposlouchávána, tak mi to přijde podobné.

3. běžně se to u *firemní* komunikace dělá

- viz hotlinky: "Upozorňujeme, že v zájmu zkvalitňování služeb může být tento hovor zaznamenáván". Myslíš, že to nemají právně ošetřené?!

4. nebavíme se o sledování obsahu komunikace, ale jenom *s kým* je vedena, čili se vůbec nemůže jednat o porušení listovního tajemství

====
Pokud máš dojem, že můj výklad je chybný, rád bych viděl nějaké judikáty, které by o tom svědčily.

[Mirek Prýmek]

2. týká se to komunikace, o které se komunikující domnívají, že je veřejná

Errata: samozřejmě mělo být "že je důvěrná"

[j]

1) § 182 trestního zákoníku - odposlech se nesmi ani s upozornenim, jednoduse nepripada v uvahu.

No a jsme u toho. Nejsem sice právník, ale mám za to, že:

1. tohle se týká *osobní* komunikace

Představ si, že máš obchodního zástupce-zaměstnance, který z firmy odejde. Podle tvé logiky bys nesměl jeho *firemní* maily, adresář kontaktů atd. předat jeho nástupci, leda že by to udělal sám.

To taky nesmis, ze je realita jinde, o tom netreba diskutovat, ale az si nektery z tech byvalych zamestnancu potezuje, mas problem a to zcela zasadni. Uvedom si, ze at chces nebo ne, muzu tomu tvymu zamestnanci trebas poslat do mailu "sex vcera byl uzasny milacku" ... protoze ja nemusim vubec tusit ze jde o firemni mail. A tim, ze si ho prectes nebo nekomu predas, si porusil i moje prava.

Jistě, pokud bude v pracovní době psát někomu ze svého soukromého emailu franta@seznam.cz, nemůžeš na síti odchytit heslo a pročítat si jeho *soukromou* poštu.

2. týká se to komunikace, o které se komunikující domnívají, že je veřejná

- jestliže někdo posílá pohled, pak těžko můžu stíhat pošťačku, která si ho z nudy přečte. Pokud je zaměstnanec upozorněn, že jeho komunikace v práci *není* důvěrná a může být odposlouchávána, tak mi to přijde podobné.

Zase mimo, postacka pokud bude pristizena, jak si ten pohled cte, tak na minutu konci. Ona to delat proste nesmi, a to i pres to, ze to jde. Uplne stejne jako nesmi rozlepovat dopisy ...

3. běžně se to u *firemní* komunikace dělá

- viz hotlinky: "Upozorňujeme, že v zájmu zkvalitňování služeb může být tento hovor zaznamenáván". Myslíš, že to nemají právně ošetřené?!

Zaznam hovoru neni odposlech, matlas dohromady naprosto odlizne veci. V tomhle pripade mas stranu A a stranu B, ktere se dohodly, ze svuj rozhovor zaznamenaji. Jenze v pripade netu zaznemanavas komunikaci svych zamestnancu s treti stranou, ktera to nijak nemuze ovlivnit a i proto to delat nesmis. Muze te pak zalovat trebas tvuj obchodni partner.

4. nebavíme se o sledování obsahu komunikace, ale jenom *s kým* je vedena, čili se vůbec nemůže jednat o porušení listovního tajemství

====
Pokud máš dojem, že můj výklad je chybný, rád bych viděl nějaké judikáty, které by o tom svědčily.

Abys zjistil s kym je veden email, musis si ho precist, ze ... jinej zpusob neexistuje. Ja ti tu muzu prozmenu napsat, ze chci videt judikaty, ktere schvaluji odposlech zamestnancu.

[Mirek Prýmek]

Zaznam hovoru neni odposlech, matlas dohromady naprosto odlizne veci. V tomhle pripade mas stranu A a stranu B, ktere se dohodly, ze svuj rozhovor zaznamenaji. Jenze v pripade netu zaznemanavas komunikaci svych zamestnancu s treti stranou, ktera to nijak nemuze ovlivnit a i proto to delat nesmis. Muze te pak zalovat trebas tvuj obchodni partner.

Sorry, ale ja fakt nevidim ten rozdil.

Volam na podporu UPC: mluvi Mirek s Frantou a spolecnost UPC to zaznamenava. Mirka i Frantu na to radeji upozorni, kdyby nahodou meli tendenci povidat si o tom, jak si spolu vcera v tom gaybaru zaradili...

Abys zjistil s kym je veden email, musis si ho precist, ze ... jinej zpusob neexistuje.

Potom by ovsem musely zakon porusovat vsechny SMTP relaye, protoze aby mail spravne nasmerovaly ,musi si ho precist a obvykle i loguji, kam ho odeslaly. A navic provozovatel serveru je treti strana stejne jako vys.

Ja ti tu muzu prozmenu napsat, ze chci videt judikaty, ktere schvaluji odposlech zamestnancu.

Ach jo. Tohle je tady kazdy druhy den...

TY neco tvrdis, tak bys to TY mel hodnoverne dolozit. Kdyz tady nekdo bude tvrdit, ze je zakazano myslet na fialoveho hrocha, tak ja budu hledat judikaty k tomu, ze se na fialoveho hrocha myslet muze?!

[Mirek Prýmek]

Dobra ale, nedalo mi to:

http://www.mzdovapraxe.cz/archiv/dokument/doc-d7058v10005-ochrana-soukromi-na-pracovisti-e-mailova-posta/
http://www.itpravo.cz/index.shtml?x=1919872

Souhrn:
 - podle ocekavani se konstatuje, ze jde o stret prav zamestnance jako fyzicke osoby na ochranu soukromi a prava zamestnavatele ochranit si svuj majetek (at uz pred zneuzitim, nebo treba zcizenim know how apod.)
 - donedavna nebylo reseno vubec konkretne upraveno a resilo se ad hoc na ustavni rovine
 - novejsi uprava je v zakoniku prace (Zákon č. 262/2006 Sb.), par. 316, ktery je ale porad pomerne vagni
 - kazdopadne ale uprava ZP vyslovne zminuje, ze zamestnavatel ma pravo chranit svuj majetek *primerene*  situaci

Cili to na me jako pravniho laika dela dojem, ze oba krajni nazory ("zamestnanec si muze delat co chce a nikdo mu nesmi vubec lezt do soukromi" i "zamestnavatel ma pravo zamestnance libovolne smirovat") jsou zjevne chybne.

Vicemene shodne s tim, co jsem napsal, se vyjadruje autor jednoho z tech dvou clanku:

Zároveň je přiměřené očekávat, že zaměstnanci budou využívat firemní e-maily také pro své soukromé účely. Striktní zákazy pravděpodobně nejsou nejlepším řešením. Právě proto, že se jedná o interdisciplinární právní problém, nelze nalézt řešení aplikací krajních pólů argumentace, ale spíše pozorováním praxe a snahou stanovovat průběžně mantinely pro řádné jednání zaměstnavatelů a zaměstnanců. Zaměstnavatelé by měli v interním předpisu nebo v pracovní smlouvě podrobněji upravit firemní přístup k monitorování soukromé korespondence zaměstnanců, včetně monitorování e-mailů, pravidelně se svým přístupem všechny zaměstnance seznamovat a diskutovat případné odůvodněné změny svého přístupu.

http://www.mzdovapraxe.cz/archiv/dokument/doc-d7058v10005-ochrana-soukromi-na-pracovisti-e-mailova-posta

Cili soud by zrejme resil pro *konkretni pripad*, jestli smirovani bylo adekvatni situaci a jestli o jeho metodice byl zamestnanec primerene informovan.

S tim bych to uzavrel, vic nad tim asi nevykoumame.