Loggar, Syslog och aviseringar

Centraliserad loggning samlar loggar från många enheter på en server eller plattform. Det hjälper på tre sätt: du kan korrelera händelser mellan enheter, du bevarar loggar även om en enhet raderas eller slutar fungera, och du kan söka igenom allt på en gång. En central logglagring är också avgörande för säkerheten, eftersom angripare ofta försöker radera lokala loggar för att dölja sina spår.

Syslog rangordnar meddelanden efter allvarlighetsgrad, från 0 till 7. Lägre siffror är mer akuta:

• 0 Nödläge, 1 Varning, 2 Kritisk
• 3 Fel, 4 Varning
• 5 Notis, 6 Information, 7 Felsökning

Vanligtvis filtrerar du så att brusiga felsökningsmeddelanden inte begraver de kritiska. Att känna till att 0 är den allvarligaste nivån hjälper dig att prioritera.

Varje syslog-meddelande innehåller också en facility-kod som anger varifrån det kommer, till exempel kärnan, e-postsystemet eller autentiseringsundersystemet. Tillsammans med allvarlighetsgraden hjälper facility-koden dig att dirigera och filtrera meddelanden, till exempel genom att skicka alla autentiseringsfel till ett säkerhetsteam. Facility och allvarlighetsgrad beskriver tillsammans både "vad" en händelse gäller och "varifrån" den kommer.

En typisk loggrad innehåller en tidsstämpel, källans värd eller enhet, facility och allvarlighetsgrad samt ett meddelande som är läsbart för människor. Korrekta tidsstämplar är avgörande, vilket är anledningen till att enheter synkroniserar sina klockor med NTP. Om två enheter visar olika tid blir det nästan omöjligt att korrelera deras loggar under en incident.

Loggar är passiva registreringar, men du kan bygga aviseringar ovanpå dem. Ett övervakningssystem bevakar inkommande loggar och reagerar på mönster, till exempel fem misslyckade inloggningar på en minut eller vilket meddelande som helst med nivån "critical". Aviseringen kan skickas via e-post, SMS eller personsökare. På så sätt omvandlas ett tyst loggflöde till aktiva varningar i rätt tid som kräver uppmärksamhet.

Ett SIEM (Security Information and Event Management)-system samlar in loggar från hela nätverket, normaliserar dem och korrelerar händelser för att upptäcka hot. Ett SIEM kan till exempel koppla samman en brandväggsblockering, en misslyckad inloggning och ett nytt administratörskonto till en misstänkt händelsekedja. SIEM-system kombinerar loggning, aviseringar och analys och är centrala i moderna säkerhetsoperationer.

Lagringstid anger hur länge du sparar loggar. Är den för kort förlorar du historik som behövs vid en utredning; är den för lång ökar lagringskostnaderna. Många organisationer och regelverk kräver att loggar sparas i månader eller år. En policy för lagringstid balanserar utredningsvärde, efterlevnadskrav och lagringskapacitet och fastställs i förväg, inte efter en incident.

Eftersom korrelering av loggar kräver enhetlig tid bör varje enhet använda NTP (Network Time Protocol) för att synkronisera sin klocka med en gemensam källa. Med synkroniserad tid kan en logg från brandväggen och en logg från servern matchas med sekundprecision, så att du kan följa en händelses väg. Osynkroniserade klockor är en klassisk och frustrerande orsak till förvirrande utredningar.

Precis som all annan övervakning måste aviseringar finjusteras. För många aviseringar leder till aviseringströtthet, så att viktiga varningar ignoreras; för få gör att verkliga incidenter passerar obemärkta. En god praxis är att skapa aviseringar för händelser med hög allvarlighetsgrad och meningsfulla mönster, undertrycka meddelanden som är kända för att skapa brus och regelbundet granska aviseringsreglerna när nätverket förändras.

Du har lärt dig om loggning och aviseringar. Viktiga punkter:

• Loggar är tidsstämplade händelseregistreringar; syslog standardiserar dem (UDP 514).
• Centraliserad loggning underlättar korrelering, bevarande och sökning.
• Allvarlighetsgraden går från 0 (Nödläge) till 7 (Felsökning); lägre värden är mer akuta.
• Ett SIEM korrelerar loggar för att upptäcka hot.
• NTP håller klockorna synkroniserade så att loggarna överensstämmer tidsmässigt.