Lokit, Syslog ja hälytykset

Keskitetty lokitus kokoaa useiden laitteiden lokit yhteen palvelimeen tai alustaan. Tästä on hyötyä kolmella tavalla: voitte yhdistää eri laitteiden tapahtumia, lokit säilyvät vaikka laite tyhjennetään tai vikaantuu, ja voitte hakea kaikista tiedoista kerralla. Keskitetty lokivarasto on tärkeä myös tietoturvan kannalta, sillä hyökkääjät yrittävät usein poistaa paikalliset lokit jälkiensä peittämiseksi.

Syslog luokittelee viestit vakavuuden mukaan asteikolla 0–7. Pienemmät numerot ovat kiireellisempiä:

• 0 Emergency, 1 Alert, 2 Critical
• 3 Error, 4 Warning
• 5 Notice, 6 Informational, 7 Debug

Suodatatte yleensä viestejä, jotta runsaat debug-viestit eivät peitä kriittisiä viestejä. Kun tiedätte, että 0 on vakavin taso, osaatte asettaa asiat tärkeysjärjestykseen.

Jokainen syslog-viesti sisältää myös facility-koodin, joka ilmaisee viestin lähteen, kuten ytimen, sähköpostijärjestelmän tai todennusjärjestelmän. Yhdessä vakavuuden kanssa facility auttaa reitittämään ja suodattamaan viestejä. Voitte esimerkiksi lähettää kaikki todennuksen epäonnistumiset tietoturvatiimille. Facility ja vakavuus kuvaavat yhdessä sekä tapahtuman "mitä"- että "mistä"-tiedon.

Tyypillinen lokirivi sisältää aikaleiman, lähteen isäntäkoneen tai laitteen, facilityn ja vakavuuden sekä ihmiselle luettavan viestin. Tarkat aikaleimat ovat välttämättömiä, minkä vuoksi laitteet synkronoivat kellonsa NTP:n avulla. Jos kahden laitteen kellot näyttävät eri aikaa, niiden lokien yhdistäminen tapahtuman aikana on lähes mahdotonta.

Lokit ovat passiivisia tallenteita, mutta niiden päälle voi rakentaa hälytyksiä. Valvontajärjestelmä seuraa saapuvia lokeja ja reagoi kaavoihin, kuten viiteen epäonnistuneeseen kirjautumiseen minuutin aikana tai mihin tahansa "critical"-viestiin. Hälytys voi lähettää sähköpostin, tekstiviestin tai hakulaitesanoman henkilöstölle. Näin hiljainen lokivirta muuttuu aktiivisiksi ja oikea-aikaisiksi huomiota vaativiksi varoituksiksi.

SIEM (Security Information and Event Management) -järjestelmä kerää lokeja eri puolilta verkkoa, normalisoi ne ja yhdistää tapahtumia uhkien havaitsemiseksi. SIEM voi esimerkiksi yhdistää palomuurin eston, epäonnistuneen kirjautumisen ja uuden ylläpitäjätilin yhdeksi epäilyttäväksi tapahtumaketjuksi. SIEM-järjestelmät yhdistävät lokituksen, hälytykset ja analyysin, ja ne ovat keskeisiä nykyaikaisessa tietoturvatoiminnassa.

Säilytysaika tarkoittaa sitä, kuinka kauan lokit säilytetään. Jos säilytysaika on liian lyhyt, tutkinnassa tarvittava historia menetetään; jos se on liian pitkä, tallennuskustannukset kasvavat. Monet organisaatiot ja säädökset edellyttävät lokien säilyttämistä kuukausia tai vuosia. Säilytyskäytännössä tasapainotetaan tutkinnan tarpeet, vaatimustenmukaisuus ja tallennuskapasiteetti, ja käytäntö päätetään etukäteen eikä vasta tapahtuman jälkeen.

Koska lokien yhdistäminen edellyttää yhdenmukaista aikaa, jokaisen laitteen tulisi käyttää NTP:tä (Network Time Protocol) kellonsa synkronoimiseen yhteiseen lähteeseen. Kun aika on synkronoitu, palomuurin ja palvelimen lokit osuvat yhteen sekunnilleen, joten voitte jäljittää tapahtuman kulun. Eri aikaan olevat kellot ovat klassinen ja turhauttava syy tutkintojen epäselvyyksiin.

Kuten kaikkea valvontaa, myös hälytyksiä on säädettävä. Liian monet hälytykset aiheuttavat hälytysväsymystä, jolloin tärkeät varoitukset jäävät huomiotta; liian harvat puolestaan päästävät todelliset tapahtumat läpi. Hyvä käytäntö on hälyttää vakavuudeltaan korkeista tapahtumista ja merkityksellisistä kaavoista, vaimentaa tunnetusti runsaslukuiset viestit ja tarkistaa hälytyssäännöt säännöllisesti verkon muuttuessa.

Opitte lokituksesta ja hälytyksistä. Keskeiset asiat:

• Lokit ovat aikaleimattuja tapahtumatallenteita; syslog standardoi ne (UDP 514).
• Keskitetty lokitus helpottaa tapahtumien yhdistämistä, säilyttämistä ja hakua.
• Vakavuusasteikko ulottuu tasosta 0 (Emergency) tasoon 7 (Debug); pienempi numero on kiireellisempi.
• SIEM yhdistää lokit uhkien havaitsemiseksi.
• NTP pitää kellot synkronoituina, jotta lokit osuvat yhteen.