Log, Syslog dan Makluman

Pengelogan berpusat mengumpulkan log daripada banyak peranti ke dalam satu pelayan atau platform. Hal ini membantu dalam tiga cara: anda mengaitkan peristiwa merentas peranti, mengekalkan log walaupun peranti dipadam atau gagal, dan mencari semuanya serentak. Penyimpanan log pusat juga penting untuk keselamatan kerana penyerang sering cuba memadam log setempat bagi menyembunyikan jejak mereka.

Syslog menyusun kedudukan mesej mengikut keparahan, daripada 0 hingga 7. Nombor yang lebih rendah adalah lebih mendesak:

• 0 Kecemasan, 1 Amaran, 2 Kritikal
• 3 Ralat, 4 Peringatan
• 5 Notis, 6 Maklumat, 7 Penyahpepijatan

Biasanya anda menapis mesej supaya mesej penyahpepijatan yang bising tidak menenggelamkan mesej kritikal. Mengetahui bahawa 0 ialah tahap paling parah membantu anda menetapkan keutamaan.

Setiap mesej Syslog turut membawa kod kemudahan yang menunjukkan asalnya, seperti kernel, sistem mel atau subsistem pengesahan. Bersama-sama keparahan, kemudahan membantu anda menghalakan dan menapis mesej, contohnya menghantar semua kegagalan pengesahan kepada pasukan keselamatan. Kemudahan dan keparahan bersama-sama menerangkan "apa" dan "dari mana" sesuatu peristiwa.

Baris log biasa merangkumi cap masa, hos atau peranti sumber, kemudahan dan keparahan, serta mesej yang boleh dibaca manusia. Cap masa yang tepat amat penting, sebab itulah peranti menyegerakkan jam dengan NTP. Jika dua peranti tidak mempunyai masa yang sama, mengaitkan log mereka semasa insiden menjadi hampir mustahil.

Log ialah rekod pasif, tetapi anda boleh membina amaran berasaskannya. Sistem pemantauan memerhati log yang masuk dan bertindak balas terhadap corak tertentu, seperti lima kegagalan log masuk dalam seminit atau sebarang mesej "kritikal". Amaran itu boleh menghantar e-mel, mesej teks atau halaman kepada kakitangan. Ini menukar aliran log yang senyap menjadi amaran aktif dan tepat pada masanya yang memerlukan perhatian.

Sistem SIEM (Security Information and Event Management) mengumpulkan log dari seluruh rangkaian, menyeragamkannya dan mengaitkan peristiwa untuk mengesan ancaman. Contohnya, SIEM mungkin menghubungkan sekatan tembok api, kegagalan log masuk dan akaun pentadbir baharu menjadi satu rangkaian kejadian yang mencurigakan. SIEM menggabungkan pengelogan, pemberian amaran dan analisis, serta menjadi teras operasi keselamatan moden.

Pengekalan ialah tempoh anda menyimpan log. Jika terlalu singkat, anda kehilangan sejarah yang diperlukan untuk siasatan; jika terlalu lama, kos storan meningkat. Banyak organisasi dan peraturan mewajibkan log disimpan selama berbulan-bulan atau bertahun-tahun. Dasar pengekalan mengimbangi nilai siasatan, peraturan pematuhan dan kapasiti storan, serta ditetapkan lebih awal, bukan selepas insiden berlaku.

Oleh sebab pengaitan log bergantung pada masa yang konsisten, setiap peranti hendaklah menggunakan NTP (Network Time Protocol) untuk menyegerakkan jamnya dengan sumber yang sama. Dengan masa yang disegerakkan, log pada tembok api dan log pada pelayan sepadan hingga ke saat, lalu membolehkan anda menjejaki laluan sesuatu peristiwa. Jam yang tidak sepadan ialah punca klasik dan mengecewakan bagi siasatan yang mengelirukan.

Seperti semua pemantauan, amaran perlu ditala. Terlalu banyak amaran menyebabkan keletihan amaran dan amaran penting diabaikan; terlalu sedikit pula menyebabkan insiden sebenar terlepas. Amalan yang baik ialah memberi amaran untuk peristiwa berkeparahan tinggi dan corak yang bermakna, menyenyapkan mesej yang sememangnya bising, serta menyemak peraturan amaran secara berkala apabila rangkaian berubah.

Anda telah mempelajari pengelogan dan amaran. Perkara penting:

• Log ialah rekod peristiwa bermasa; Syslog menyeragamkannya (UDP 514).
• Pengelogan berpusat membantu pengaitan, pemeliharaan dan carian.
• Keparahan bermula daripada 0 (Kecemasan) hingga 7 (Penyahpepijatan); nombor yang lebih rendah lebih mendesak.
• SIEM mengaitkan log untuk mengesan ancaman.
• NTP memastikan jam disegerakkan supaya log sepadan.