Dzienniki, Syslog i alerty

Log to opatrzony znacznikiem czasu zapis zdarzenia: logowania, zmiany interfejsu, odrzucenia pakietu lub błędu. Logi są pamięcią sieci. Gdy coś przestaje działać, pozwalają odtworzyć, co się stało i kiedy. Bez logowania rozwiązywanie problemów staje się zgadywaniem. Dzięki logom mają Państwo dowody, które pozwalają prześledzić zdarzenia aż do przyczyny źródłowej.

Syslog to wieloletni standard generowania i wysyłania komunikatów o zdarzeniach w systemach sieciowych i uniksopodobnych. Urządzenia generują komunikaty syslog i mogą przekazywać je do centralnego serwera syslog. Centralizacja jest bardzo użyteczna: zamiast logować się do 50 urządzeń, przeszukują Państwo jedno miejsce. Syslog jest zwykle przesyłany przez port UDP 514.

Centralne logowanie gromadzi logi z wielu urządzeń na jednym serwerze lub w jednej platformie. Pomaga to na trzy sposoby: umożliwia korelowanie zdarzeń z różnych urządzeń, zachowuje logi nawet po wyczyszczeniu lub awarii urządzenia oraz pozwala przeszukiwać wszystko jednocześnie. Centralny magazyn logów ma również kluczowe znaczenie dla bezpieczeństwa, ponieważ napastnicy często próbują usuwać lokalne logi, aby zatrzeć ślady.

Syslog klasyfikuje komunikaty według ważności w skali od 0 do 7. Niższe liczby oznaczają większą pilność:

• 0 Emergency, 1 Alert, 2 Critical
• 3 Error, 4 Warning
• 5 Notice, 6 Informational, 7 Debug

Zwykle stosuje się filtrowanie, aby głośne komunikaty debugowania nie przesłaniały komunikatów krytycznych. Wiedza, że 0 oznacza najwyższą ważność, pomaga ustalać priorytety.

Każdy komunikat syslog zawiera również kod facility wskazujący jego źródło, takie jak jądro, system pocztowy lub podsystem uwierzytelniania. W połączeniu z ważnością obiekt facility pomaga kierować i filtrować komunikaty, na przykład wysyłać wszystkie nieudane próby uwierzytelniania do zespołu ds. bezpieczeństwa. Facility i ważność razem opisują zarówno „co”, jak i „skąd” danego zdarzenia.

Typowy wiersz logu zawiera znacznik czasu, źródłowy host lub urządzenie, facility i ważność oraz czytelny dla człowieka komunikat. Dokładne znaczniki czasu są niezbędne, dlatego urządzenia synchronizują zegary za pomocą NTP. Jeśli dwa urządzenia wskazują różne czasy, korelowanie ich logów podczas incydentu staje się niemal niemożliwe.

Logi są biernymi zapisami, ale można na ich podstawie budować alerty. System monitorujący obserwuje przychodzące logi i reaguje na wzorce, takie jak pięć nieudanych logowań w ciągu minuty lub dowolny komunikat „critical”. Alert może wysłać wiadomość e-mail, SMS lub powiadomienie na pager. W ten sposób cichy strumień logów zmienia się w aktywne, aktualne ostrzeżenia wymagające uwagi.

System SIEM (Security Information and Event Management) gromadzi logi z całej sieci, normalizuje je i koreluje zdarzenia w celu wykrywania zagrożeń. Na przykład SIEM może połączyć blokadę zapory, nieudane logowanie i nowe konto administratora w jeden podejrzany ciąg zdarzeń. Systemy SIEM łączą logowanie, alertowanie i analizę oraz stanowią podstawę nowoczesnych operacji bezpieczeństwa.

Retencja oznacza okres przechowywania logów. Przy zbyt krótkim okresie traci się historię potrzebną do przeprowadzenia dochodzenia, a przy zbyt długim rosną koszty pamięci masowej. Wiele organizacji i przepisów wymaga przechowywania logów przez miesiące lub lata. Zasady retencji równoważą wartość dochodzeniową, wymogi zgodności i pojemność pamięci masowej; ustala się je z wyprzedzeniem, a nie dopiero po incydencie.

Ponieważ korelowanie logów zależy od spójnego czasu, każde urządzenie powinno używać NTP (Network Time Protocol) do synchronizowania zegara ze wspólnym źródłem. Przy zsynchronizowanym czasie log na zaporze i log na serwerze są zgodne co do sekundy, co pozwala prześledzić drogę zdarzenia. Niezgodne zegary są klasyczną i frustrującą przyczyną niejasności podczas analiz.

Podobnie jak całe monitorowanie, alerty wymagają dostrojenia. Zbyt duża liczba alertów powoduje zmęczenie alertami, przez co ważne ostrzeżenia są ignorowane; zbyt mała liczba sprawia, że prawdziwe incydenty pozostają niezauważone. Dobrą praktyką jest alertowanie o zdarzeniach o wysokiej ważności i znaczących wzorcach, wyciszanie znanych, głośnych komunikatów oraz regularny przegląd reguł alertów w miarę zmian w sieci.

Sprawdź swoją wiedzę o logowaniu.

Poznali Państwo logowanie i alerty. Najważniejsze informacje:

• Logi to opatrzone znacznikami czasu zapisy zdarzeń; standard syslog je ujednolica (UDP 514).
• Centralne logowanie ułatwia korelację, zachowywanie i przeszukiwanie danych.
• Ważność obejmuje poziomy od 0 (Emergency) do 7 (Debug); niższe poziomy są pilniejsze.
• SIEM koreluje logi w celu wykrywania zagrożeń.
• NTP synchronizuje zegary, dzięki czemu logi można ze sobą zestawiać.