Журналы, Syslog и оповещения

Журнал — это запись события с указанием времени: входа в систему, изменения интерфейса, отброшенного пакета или ошибки. Журналы — это память сети. Когда что-то выходит из строя, они позволяют восстановить, что произошло и когда. Без ведения журналов устранение неисправностей превращается в гадание. С журналами у вас есть доказательства, по которым можно проследить путь до первопричины.

Системный журнал — это давно используемый стандарт создания и отправки сообщений о событиях в сетевых системах и системах семейства Unix. Устройства создают сообщения системного журнала и могут пересылать их на центральный сервер системного журнала. Централизация очень полезна: вместо входа на 50 устройств вы выполняете поиск в одном месте. Обычно системный журнал передаётся через порт UDP 514.

Централизованное ведение журналов собирает журналы со многих устройств на одном сервере или в одной платформе. Это помогает тремя способами: вы сопоставляете события на разных устройствах, сохраняете журналы даже после очистки или отказа устройства и выполняете поиск по всем данным одновременно. Центральное хранилище журналов также крайне важно для безопасности, поскольку злоумышленники часто пытаются удалить локальные журналы, чтобы скрыть свои следы.

Системный журнал ранжирует сообщения по уровню важности от 0 до 7. Чем меньше число, тем выше срочность:

• 0 — чрезвычайная ситуация, 1 — тревога, 2 — критическое событие
• 3 — ошибка, 4 — предупреждение
• 5 — уведомление, 6 — информационное сообщение, 7 — отладка

Обычно применяют фильтрацию, чтобы многочисленные отладочные сообщения не скрывали критические. Знание о том, что 0 — самый высокий уровень важности, помогает расставлять приоритеты.

Каждое сообщение системного журнала также содержит код категории, указывающий, откуда оно поступило, например из ядра, почтовой системы или подсистемы аутентификации. В сочетании с уровнем важности категория помогает направлять сообщения и фильтровать их, например отправлять все сбои аутентификации команде безопасности. Вместе категория и уровень важности описывают и «что произошло», и «откуда это поступило».

Обычно строка журнала содержит метку времени, исходный узел или устройство, категорию и уровень важности, а также понятное человеку сообщение. Точные метки времени крайне важны, поэтому устройства синхронизируют часы с помощью NTP. Если на двух устройствах время различается, сопоставить их журналы во время инцидента становится почти невозможно.

Журналы являются пассивными записями, но поверх них можно создавать оповещения. Система мониторинга отслеживает поступающие журналы и реагирует на определённые закономерности, например на пять неудачных входов за минуту или на любое сообщение с уровнем «критическое». Оповещение может отправить электронное письмо, текстовое сообщение или вызвать уведомление для сотрудника. Так спокойный поток записей превращается в активные своевременные предупреждения, требующие внимания.

Система SIEM (управление информацией и событиями безопасности) собирает журналы со всей сети, нормализует их и сопоставляет события для обнаружения угроз. Например, SIEM может связать блокировку брандмауэром, неудачный вход и новую учётную запись администратора в одну подозрительную цепочку. Системы SIEM объединяют ведение журналов, оповещения и анализ и играют центральную роль в современных операциях безопасности.

Хранение — это срок, в течение которого вы сохраняете журналы. При слишком коротком сроке можно потерять историю, необходимую для расследования, а при слишком длинном растут расходы на хранение. Многие организации и нормативные требования предписывают хранить журналы месяцами или годами. Политика хранения должна уравновешивать пользу для расследований, требования соответствия и доступный объём хранилища; её определяют заранее, а не после инцидента.

Поскольку сопоставление журналов зависит от единого времени, каждое устройство должно использовать NTP (протокол сетевого времени) для синхронизации часов с общим источником. При синхронизированном времени запись в журнале брандмауэра и запись в журнале сервера совпадают до секунды, что позволяет проследить путь события. Несогласованные часы — классическая и крайне неприятная причина запутанных расследований.

Как и любой мониторинг, оповещения необходимо настраивать. Слишком большое их количество вызывает усталость от оповещений, и важные предупреждения начинают игнорировать; слишком малое количество позволяет реальным инцидентам остаться незамеченными. Рекомендуется создавать оповещения для событий высокой важности и значимых закономерностей, подавлять заведомо многочисленные сообщения и регулярно пересматривать правила оповещений по мере изменения сети.

Проверьте свои знания о ведении журналов.

Вы изучили ведение журналов и оповещения. Основные положения:

• Журналы — это записи событий с указанием времени; системный журнал стандартизирует их передачу (UDP 514).
• Централизованное ведение журналов помогает сопоставлять, сохранять и искать записи.
• Уровни важности идут от 0 (чрезвычайная ситуация) до 7 (отладка); чем меньше число, тем выше срочность.
• SIEM сопоставляет журналы для обнаружения угроз.
• NTP синхронизирует часы, чтобы записи журналов совпадали по времени.