Använda observerbarhet för säkerhet

Genom att analysera loggar kan vi identifiera mönster som ofta tyder på skadlig aktivitet. Några vanliga exempel är:

• Brute force-attacker: Många misslyckade inloggningsförsök från en och samma IP-adress eller ett och samma användarkonto under en kort period.
• Portskanning: Upprepade anslutningsförsök till olika portar på ett målsystem.
• Obehörig åtkomst: Loggposter som visar att användare utan rätt behörigheter har kommit åt resurser.
• Försök till SQL-injektion: Felaktigt utformade databasfrågor som förekommer i applikationsloggar.

Strukturerad loggning gör det mycket enklare att söka efter och filtrera fram dessa mönster!

Mätvärden ger aggregerade data över tid, vilket kan avslöja säkerhetsavvikelser genom att visa avvikelser från normalt beteende. Håll utkik efter:

• Frekvens av misslyckade inloggningar: En plötslig ökning kan signalera en brute force-attack.
• Nätverkstrafik (utgående/inkommande): Oväntade ökningar kan tyda på dataexfiltrering eller en Denial-of-Service-attack (DoS-attack).
• Frekvens av API-fel: Höga felfrekvenser på specifika endpoints, särskilt auktoriseringsfel (till exempel HTTP 401/403), kan tyda på attackförsök.
• Resursanvändning: Ovanliga toppar i CPU- eller minnesanvändningen kan tyda på skadlig kod, cryptominers eller obehöriga processer.

Distributed traces följer en enskild begäran när den passerar genom flera tjänster. Denna överblick från början till slut är mycket värdefull för säkerheten:

• En skadlig begärans väg: Se hela förloppet för en obehörig begäran och identifiera alla tjänster som den berörde.
• Oväntade tjänsteanrop: Upptäck om en tjänst anropar en annan tjänst som den inte borde anropa eller utför en ovanlig åtgärd.
• Dataexfiltrering: Följ en begäran som kan försöka hämta ut känsliga data och se var datan kom ifrån och vart den skickades.

Traces ger den viktiga kontexten för en åtgärd.

När ni vet vad ni ska leta efter kan ni konfigurera aviseringar som meddelar er om misstänkta logghändelser. Detta görs ofta med hjälp av sökfrågor i ert centraliserade logghanteringssystem.

Exempel på loggbaserade aviseringar:

• Skicka en avisering om antalet event.action: "login_failed" överstiger 50 inom 5 minuter från en och samma source.ip.
• Skicka en avisering om user.role: "admin" utför event.action: "delete_database" utanför normal arbetstid.
• Skicka en avisering om någon logg innehåller en specifik sträng som visar på en känd exploit, till exempel "union select password" vid SQL-injektion.

På liknande sätt kan mätvärdesbaserade aviseringar varna er när viktiga prestandaindikatorer med koppling till säkerhet passerar vissa tröskelvärden. Dessa aviseringar passar bra för att upptäcka omfattande attacker eller attacker med hög volym.

Överväg följande exempel:

• Skicka en avisering om mätvärdet http.server.requests.status_401_total (det totala antalet 401 Unauthorized-svar) överstiger 100 per minut i hela applikationen.
• Skicka en avisering om network.bytes_sent_total för hela systemet ökar med 200 % jämfört med genomsnittet för de senaste 7 dagarna.
• Skicka en avisering om process.cpu_usage för en applikationsserver ligger över 80 % i mer än 10 minuter under lågtrafikperioder.

Den verkliga styrkan hos observability för säkerhet kommer från att korrelera alla tre signalerna: loggar, mätvärden och traces. Ingen enskild signal berättar hela historien.

• En ökning av mätvärdet för misslyckade inloggningar (mätvärde) kan leda till en undersökning av specifika loggposter för att identifiera angriparnas IP-adresser och användarnamn.
• Ett ovanligt API-anrop som observeras i en trace kan jämföras med loggar för att hitta relaterade fel eller obehöriga försök.
• En logg över obehörig åtkomst kan kopplas till ett trace-ID för att se den skadliga begärans fullständiga väg genom era tjänster.

Denna samlade vy möjliggör snabbare och mer träffsäker incidenthantering.

Följ dessa bästa praxis för att maximera säkerheten med hjälp av observability:

• Detaljerad loggning: Logga tillräckligt med information för att loggarna ska vara användbara, men undvik att logga känsliga data direkt.
• Centraliserad insamling: Samla alla loggar, mätvärden och traces på en enda sökbar plattform.
• Övervakning av normalvärden: Förstå systemets normala beteende så att ni lättare kan upptäcka avvikelser.
• Regelbunden granskning: Granska regelbundet era säkerhetsaviseringar och dashboards för att säkerställa att de fortfarande är relevanta och effektiva.
• Åtkomstkontroll: Tillämpa minsta privilegium för åtkomst till själva observability-verktygen och -data.

Bra jobbat! Ni har lärt er hur observability spelar en avgörande roll för systemsäkerheten. Genom att använda loggar, mätvärden och traces kan ni:

• Identifiera misstänkta mönster och avvikelser.
• Konfigurera proaktiva aviseringar för potentiella hot.
• Få en djup kontextuell förståelse under säkerhetsincidenter.
• Korrelera data mellan signaler för snabbare analys av grundorsaker.

Genom att integrera observability i er säkerhetsstrategi kan ni bygga mer motståndskraftiga och säkra system. Fortsätt utforska hur dessa kraftfulla verktyg kan skydda era applikationer!