Was ein FTP-Server über einen SOCKS-vermittelten Client protokollieren kann
Erfassen Sie ein vollständiges Verbindungs-Tupel und den Zeitpunkt, wenn ein FTP-Server einen Proxy-Ausgang statt des ursprünglichen Clients sieht.
Ein FTP-Server, der eine über SOCKS vermittelte TCP-Verbindung empfängt, sieht den Peer, der die ausgehende Verbindung des Proxys geöffnet hat. Die SOCKS-Aushandlung fand zwischen Client und Proxy statt; sie ist kein zusätzlicher Identifikations-Header, der an FTP ausgeliefert wird.
Erfassen Sie Peer-IP und Quellport, Zieladresse und -port, das Transportprotokoll sowie einen genauen Zeitstempel mit klarer Zeitbasis. Eine gemeinsam genutzte Ausgangsadresse kann viele gleichzeitige Clients repräsentieren, daher ist die IP allein ein schwacher Korrelationsschlüssel.
Um die ausgehende Verbindung einer früheren Client-Verbindung zuzuordnen, sind Aufzeichnungen des Vermittlers und jeder relevanten Adressübersetzung nötig. Diese Aufzeichnungen existieren möglicherweise nicht oder sind nicht mehr verfügbar. Eine Paketaufzeichnung auf der Zielseite kann eine fehlende Zuordnung nicht rekonstruieren.
HTTP-Forwarding-Header sind ein anderer Mechanismus und begleiten gewöhnliches FTP nicht. Selbst bei HTTP braucht ein behauptetes Feld für den ursprünglichen Client eine vertrauenswürdige Herkunft; beliebiger, vom Client gelieferter Text belegt nicht, wer eine Verbindung betrieben hat.