Log, Syslog e avvisi

Un log è una registrazione con marca temporale di un evento: un accesso, una modifica a un'interfaccia, un pacchetto scartato o un errore. I log sono la memoria della rete. Quando qualcosa si guasta, consentono di ricostruire che cosa è successo e quando. Senza logging, la risoluzione dei problemi diventa un'ipotesi. Con i log, avete prove che vi permettono di risalire alla causa principale.

Syslog è lo standard consolidato per generare e inviare messaggi relativi agli eventi sui sistemi di rete e Unix-like. I dispositivi producono messaggi syslog e possono inoltrarli a un server syslog centrale. Questa centralizzazione è potente: invece di accedere a 50 dispositivi, cercate in un unico punto. In genere Syslog viaggia sulla porta UDP 514.

Il logging centralizzato raccoglie i log di molti dispositivi in un unico server o un'unica piattaforma. Questo offre tre vantaggi: consente di correlare gli eventi tra dispositivi, preserva i log anche se un dispositivo viene cancellato o si guasta e permette di eseguire ricerche su tutto in una volta. Un archivio centrale dei log è inoltre essenziale per la sicurezza, poiché gli aggressori spesso cercano di cancellare i log locali per nascondere le proprie tracce.

Syslog classifica i messaggi in base alla gravità, da 0 a 7. I numeri più bassi indicano una maggiore urgenza:

• 0 Emergency, 1 Alert, 2 Critical
• 3 Error, 4 Warning
• 5 Notice, 6 Informational, 7 Debug

In genere filtrate i messaggi di debug, molto numerosi, per evitare che nascondano quelli critici. Sapere che 0 indica la gravità massima vi aiuta a stabilire le priorità.

Ogni messaggio syslog contiene anche un codice facility che indica la sua origine, ad esempio il kernel, il sistema di posta o il sottosistema di autenticazione. Insieme alla gravità, la facility aiuta a instradare e filtrare i messaggi; per esempio, potete inviare tutti i tentativi di autenticazione non riusciti al team di sicurezza. Insieme, facility e gravità descrivono sia il "che cosa" sia il "da dove" di un evento.

Una tipica riga di log include un timestamp, l'host o il dispositivo di origine, la facility e la gravità, oltre a un messaggio leggibile. I timestamp accurati sono essenziali, per questo i dispositivi sincronizzano gli orologi con NTP. Se due dispositivi indicano orari diversi, correlare i loro log durante un incidente diventa quasi impossibile.

I log sono registrazioni passive, ma potete costruirvi sopra degli avvisi. Un sistema di monitoraggio osserva i log in arrivo e reagisce a determinati schemi, ad esempio cinque accessi non riusciti in un minuto o qualsiasi messaggio "critical". L'avviso può inviare un'e-mail, un SMS o una notifica al personale. In questo modo un flusso di log silenzioso si trasforma in avvisi attivi e tempestivi che richiedono attenzione.

Un sistema SIEM (Security Information and Event Management) raccoglie i log dall'intera rete, li normalizza e correla gli eventi per rilevare le minacce. Ad esempio, un SIEM potrebbe collegare il blocco di un firewall, un accesso non riuscito e un nuovo account amministratore in un'unica sequenza sospetta. I SIEM combinano logging, avvisi e analisi e sono fondamentali per le moderne attività di sicurezza.

La retention indica per quanto tempo vengono conservati i log. Se è troppo breve, si perde la cronologia necessaria per un'indagine; se è troppo lunga, aumentano i costi di archiviazione. Molte organizzazioni e normative richiedono di conservare i log per mesi o anni. La policy di conservazione bilancia il valore investigativo, i requisiti di conformità e la capacità di archiviazione, e viene stabilita in anticipo anziché dopo un incidente.

Poiché la correlazione dei log dipende dalla coerenza dell'ora, ogni dispositivo dovrebbe usare NTP (Network Time Protocol) per sincronizzare il proprio orologio con una sorgente comune. Con l'ora sincronizzata, un log del firewall e uno del server coincidono al secondo, consentendovi di seguire il percorso di un evento. Gli orologi non sincronizzati sono una causa classica e frustrante di indagini poco chiare.

Come per ogni attività di monitoraggio, gli avvisi devono essere regolati. Un numero eccessivo di avvisi causa affaticamento da avvisi e porta a ignorare quelli importanti; un numero insufficiente permette agli incidenti reali di passare inosservati. È buona pratica generare avvisi per gli eventi ad alta gravità e per gli schemi significativi, sopprimere i messaggi notoriamente rumorosi e rivedere regolarmente le regole degli avvisi man mano che la rete cambia.

Verificate le vostre conoscenze sul logging.

Avete imparato a conoscere il logging e gli avvisi. Punti chiave:

• I log sono registrazioni di eventi con marca temporale; syslog li standardizza (UDP 514).
• Il logging centralizzato facilita la correlazione, la conservazione e la ricerca.
• La gravità va da 0 (Emergency) a 7 (Debug); i valori più bassi indicano maggiore urgenza.
• Un SIEM correla i log per rilevare le minacce.
• NTP mantiene sincronizzati gli orologi, così i log coincidono.