Logs, Syslog og alarmer

En log er en tidsstemplet registrering af en hændelse: et login, en ændring af et interface, en kasseret pakke eller en fejl. Logs er netværkets hukommelse. Når noget går i stykker, kan logs hjælpe dig med at rekonstruere, hvad der skete, og hvornår det skete. Uden logning bliver fejlfinding baseret på gæt. Med logning har du beviser, som kan føre dig tilbage til den grundlæggende årsag.

Syslog er den mangeårige standard til generering og afsendelse af hændelsesmeddelelser på netværks- og Unix-lignende systemer. Enheder genererer syslog-meddelelser og kan videresende dem til en central syslog-server. Denne centralisering er effektiv: I stedet for at logge ind på 50 enheder søger du ét sted. Syslog sendes typisk over UDP-port 514.

Centraliseret logning samler logs fra mange enheder på én server eller platform. Det hjælper på tre måder: Du kan sammenholde hændelser på tværs af enheder, du bevarer logs, selv hvis en enhed slettes eller svigter, og du kan søge i alt på én gang. Et centralt loglager er også afgørende for sikkerheden, fordi angribere ofte forsøger at slette lokale logs for at skjule deres spor.

Syslog rangerer meddelelser efter alvorlighed fra 0 til 7. Lavere tal er mere presserende:

• 0 Nødsituation, 1 Alarm, 2 Kritisk
• 3 Fejl, 4 Advarsel
• 5 Bemærkning, 6 Information, 7 Fejlfinding

Du filtrerer normalt, så støjende fejlfindingmeddelelser ikke begraver de kritiske. Når du ved, at 0 er det mest alvorlige, kan du prioritere bedre.

Hver syslog-meddelelse indeholder også en facility-kode, der angiver, hvor den kommer fra, f.eks. kernen, mailsystemet eller godkendelsessubsystemet. Sammen med alvorligheden hjælper facility dig med at videresende og filtrere meddelelser, f.eks. ved at sende alle godkendelsesfejl til et sikkerhedsteam. Facility og alvorlighed beskriver tilsammen både "hvad" og "hvorfra" for en hændelse.

En typisk loglinje indeholder et tidsstempel, den kilde-host eller enhed, facility og alvorlighed samt en menneskelæselig meddelelse. Nøjagtige tidsstempler er afgørende, og derfor synkroniserer enheder deres ure med NTP. Hvis to enheder viser forskellige tidspunkter, bliver det næsten umuligt at sammenholde deres logs under en hændelse.

Logs er passive registreringer, men du kan bygge alarmer oven på dem. Et overvågningssystem holder øje med indkommende logs og reagerer på mønstre, f.eks. fem mislykkede loginforsøg på et minut eller en hvilken som helst meddelelse markeret som "kritisk". Alarmen kan sende en e-mail, en sms eller en personsøgerbesked. Det forvandler en stille logstrøm til aktive advarsler, der kommer i rette tid og kræver opmærksomhed.

Et SIEM (Security Information and Event Management)-system indsamler logs fra hele netværket, normaliserer dem og sammenholder hændelser for at opdage trusler. Et SIEM kan f.eks. forbinde en firewallblokering, et mislykket login og en ny administratorkonto til én mistænkelig hændelse. SIEM-systemer kombinerer logning, alarmering og analyse og er centrale i moderne sikkerhedsdrift.

Opbevaring er, hvor længe du gemmer logs. Hvis perioden er for kort, mister du historik, der er nødvendig for en undersøgelse; hvis den er for lang, stiger lageromkostningerne. Mange organisationer og regler kræver, at logs gemmes i måneder eller år. En politik for opbevaring afvejer undersøgelsesværdien, krav om overholdelse af regler og lagerkapacitet og fastlægges på forhånd i stedet for efter en hændelse.

Da sammenkædning af logs afhænger af et ensartet klokkeslæt, bør alle enheder bruge NTP (Network Time Protocol) til at synkronisere deres ur med en fælles kilde. Med synkroniseret tid passer en log på firewallen og en log på serveren sammen ned til sekundet, så du kan følge en hændelses forløb. Uens ure er en klassisk og frustrerende årsag til forvirrende undersøgelser.

Som med al overvågning skal alarmer justeres. For mange alarmer skaber alarmtræthed, så vigtige advarsler bliver ignoreret; for få betyder, at virkelige hændelser slipper igennem. God praksis er at alarmere ved hændelser med høj alvorlighed og meningsfulde mønstre, undertrykke kendte støjende meddelelser og regelmæssigt gennemgå alarmreglerne, efterhånden som netværket ændrer sig.

Du har lært om logning og alarmer. Vigtige punkter:

• Logs er tidsstemplede hændelsesregistreringer; syslog standardiserer dem (UDP 514).
• Centraliseret logning hjælper med sammenkædning, bevaring og søgning.
• Alvorligheden går fra 0 (Nødsituation) til 7 (Fejlfinding); lavere er mere presserende.
• Et SIEM sammenholder logs for at opdage trusler.
• NTP holder urene synkroniserede, så logs passer sammen.