Linux Server Deployment & SSH Mastery · บทเรียน

การบันทึกแบบรวมศูนย์และการผสานรวม SIEM

การบันทึกแบบรวมศูนย์และการผสานรวม SIEM เป็นบทเรียน Linux Server Deployment & SSH Mastery ฟรีบน CoddyKit นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Linux Server Deployment & SSH Mastery และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Linux Server Deployment & SSH Mastery มีบทเรียนทั้งหมด 4 บทเรียน

เหตุใดการบันทึกแบบรวมศูนย์จึงสำคัญ

หลังจากเสริมความแข็งแกร่งให้ไฟร์วอลล์และนำระบบตรวจจับการบุกรุกไปใช้งาน เสาหลักถัดไปคือการมองเห็น โฮสต์ที่ถูกเจาะระบบเพียงเครื่องเดียวอาจลบร่องรอยของตนเองด้วยการแก้ไขบันทึกภายในเครื่อง

การบันทึกแบบรวมศูนย์จะส่งทุกเหตุการณ์ออกจากเครื่องไปยังตัวรวบรวมเฉพาะ ทำให้ผู้โจมตีลบหลักฐานได้ยาก

ต้านทานการแก้ไข
เชื่อมโยงเหตุการณ์จากเซิร์ฟเวอร์หลายเครื่อง
เก็บรักษาระยะยาวสำหรับการสืบสวนทางนิติวิทยาศาสตร์

ชุดระบบบันทึกของ Linux

ดิสทริบิวชันสมัยใหม่ใช้ systemd-journald สำหรับบันทึกแบบมีโครงสร้าง และใช้ rsyslog สำหรับส่งต่อ

คุณตรวจสอบเจอร์นัลด้วย journalctl และกำหนดค่ากฎการส่งต่อใน /etc/rsyslog.conf หรือไฟล์แบบดรอปอินภายใต้ /etc/rsyslog.d/

journalctl -u sshd --since '1 hour ago'
journalctl -p err -b

SIEM คืออะไร

แพลตฟอร์ม SIEM (การจัดการข้อมูลความปลอดภัยและเหตุการณ์) รับบันทึก ทำให้บันทึกอยู่ในรูปแบบมาตรฐาน และเรียกใช้กฎการเชื่อมโยงเพื่อเปิดเผยภัยคุกคาม

ตัวเลือกยอดนิยม ได้แก่ Elastic Stack (ELK), Wazuh, Graylog และ Splunk

รับข้อมูล: รวบรวมเหตุการณ์ดิบ
แยกวิเคราะห์: ดึงฟิลด์ออกมา
เชื่อมโยง: เชื่อมเหตุการณ์ที่เกี่ยวข้องกัน
แจ้งเตือน: แจ้งเตือนเมื่อพบรูปแบบน่าสงสัย

การส่งต่อบันทึกด้วย rsyslog

หากต้องการส่งบันทึกทั้งหมดไปยังตัวรวบรวมส่วนกลางผ่าน TCP ให้เพิ่มกฎการส่งต่อ เครื่องหมาย @@ สองตัวหมายถึง TCP (เครื่องหมาย @ เดียวหมายถึง UDP)

# /etc/rsyslog.d/90-forward.conf
*.* @@siem.internal:514

การรักษาความปลอดภัยของการรับส่ง

syslog แบบข้อความธรรมดาที่ส่งผ่านเครือข่ายทำให้ข้อมูลสำคัญรั่วไหล ให้ใช้ TLS ร่วมกับโมดูล GnuTLS ของ rsyslog เพื่อเข้ารหัสบันทึกระหว่างการรับส่ง

# rsyslog TLS forwarding
global(DefaultNetstreamDriver="gtls")
$DefaultNetstreamDriverCAFile /etc/ssl/ca.pem
*.* @@(o)siem.internal:6514

การส่งบันทึกด้วย Filebeat

ในการตั้งค่า Elastic Stack Filebeat จะติดตามไฟล์และส่งไฟล์เหล่านั้นไปยัง Logstash หรือ Elasticsearch โดยจะติดตามตำแหน่งที่อ่านไว้ เพื่อไม่ให้เหตุการณ์สูญหายเมื่อเริ่มทำงานใหม่

# filebeat.yml
filebeat.inputs:
  - type: filestream
    paths:
      - /var/log/auth.log
      - /var/log/iptables.log
output.logstash:
  hosts: ['siem.internal:5044']

การแยกวิเคราะห์และทำเหตุการณ์ให้เป็นมาตรฐาน

บันทึกดิบมักไม่เป็นระเบียบ SIEM ใช้ตัวแยกวิเคราะห์ (grok ของ Logstash และตัวถอดรหัสของ Wazuh) เพื่อเปลี่ยนบรรทัดหนึ่งให้เป็นฟิลด์ต่าง ๆ เช่น src_ip, user และ action

ฟิลด์ที่อยู่ในรูปแบบมาตรฐานช่วยให้คุณเขียนกฎที่ทำงานกับบันทึก SSH ไฟร์วอลล์ และเว็บได้อย่างสม่ำเสมอ

# Logstash grok for sshd failed login
filter {
  grok {
    match => { 'message' => 'Failed password for %{USERNAME:user} from %{IP:src_ip}' }
  }
}

กฎการเชื่อมโยง

พลังที่แท้จริงของ SIEM คือการเชื่อมโยง: รวมเหตุการณ์ที่มีค่าต่ำให้กลายเป็นการแจ้งเตือนที่มีค่าสูง

การเข้าสู่ระบบ SSH ล้มเหลว 5 ครั้งภายใน 60 วินาทีจาก IP เดียว แล้วตามด้วยการเข้าสู่ระบบสำเร็จ = อาจเป็นการโจมตีแบบเดารหัสผ่านที่สำเร็จ
การเพิ่มขึ้นอย่างรวดเร็วของการทิ้งแพ็กเก็ตโดยไฟร์วอลล์ + การเชื่อมต่อขาออกใหม่ = อาจเป็นการลักลอบนำข้อมูลออก

การเชื่อมต่อ IDPS ของคุณ

ส่งการแจ้งเตือนจากระบบตรวจจับการบุกรุกที่มีอยู่ (Suricata, Snort, Fail2ban, AIDE) เข้าไปยัง SIEM เดียวกัน

ขณะนี้แดชบอร์ดเดียวจะแสดงการทิ้งแพ็กเก็ตของไฟร์วอลล์ ลายเซ็น IDS และผลการตรวจสอบไว้เคียงข้างกัน ทำให้สามารถเชื่อมโยงข้อมูลจากหลายแหล่งได้

# Send Suricata eve.json to the SIEM via Filebeat
filebeat.inputs:
  - type: filestream
    paths:
      - /var/log/suricata/eve.json
    parsers:
      - ndjson:
          target: ''

การแจ้งเตือนและการตอบสนอง

การตรวจจับที่ไม่มีการแจ้งเตือนไม่มีประโยชน์ กำหนดค่า SIEM ให้ส่งการแจ้งเตือนไปยังอีเมล Slack หรือระบบจัดการทิกเก็ต

ทีมที่มีวุฒิภาวะจะเพิ่มเพลย์บุ๊ก SOAR ที่ตอบสนองโดยอัตโนมัติ เช่น เพิ่มกฎทิ้งแพ็กเก็ตของ iptables สำหรับ IP ที่ถูกแจ้งเตือนแบบไดนามิก

การเก็บรักษาและความถูกต้องสมบูรณ์

บันทึกคือหลักฐาน จงปกป้องบันทึกเหล่านั้น:

พื้นที่จัดเก็บแบบเพิ่มข้อมูลได้อย่างเดียวหรือ WORM
กำหนดระยะเวลาเก็บรักษาให้เป็นไปตามข้อกำหนด (PCI, GDPR)
สร้างแฮชของคลังบันทึกเพื่อให้ตรวจพบการแก้ไขได้

sha256sum auth.log.2026-05-29.gz > auth.log.2026-05-29.gz.sha256

ตรวจสอบอย่างรวดเร็ว

เหตุใดจึงควรใช้การบันทึกแบบรวมศูนย์แทนการพึ่งพาเฉพาะไฟล์บันทึกภายในเครื่อง

สรุปทบทวน

คุณได้เรียนรู้วิธีเปลี่ยนบันทึกเซิร์ฟเวอร์ดิบให้เป็นข้อมูลเชิงลึกด้านความปลอดภัยแล้ว:

ส่งบันทึกไปยังศูนย์กลางด้วย rsyslog/Filebeat ผ่าน TLS
แยกวิเคราะห์และทำให้อยู่ในรูปแบบมาตรฐานเป็นฟิลด์
เชื่อมโยงข้อมูลจากไฟร์วอลล์ IDPS และแหล่งตรวจสอบใน SIEM
แจ้งเตือน ตอบสนอง และปกป้องความถูกต้องสมบูรณ์ของบันทึก

การบันทึกแบบรวมศูนย์ทำให้กระบวนการเสริมความแข็งแกร่งสมบูรณ์: ป้องกัน ตรวจจับ และตอนนี้เฝ้าสังเกต

คำถามที่พบบ่อย

บทเรียน “การบันทึกแบบรวมศูนย์และการผสานรวม SIEM” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “การบันทึกแบบรวมศูนย์และการผสานรวม SIEM” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Linux Server Deployment & SSH Mastery ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Linux Server Deployment & SSH Mastery มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “การบันทึกแบบรวมศูนย์และการผสานรวม SIEM”

รวบรวม ส่งต่อ และวิเคราะห์บันทึกเซิร์ฟเวอร์ไว้ที่ส่วนกลาง เพื่อให้ผลการตรวจพบของ IDPS บันทึกการตรวจสอบ และเหตุการณ์จากไฟร์วอลล์กลายเป็นข้อมูลข่าวกรองด้านความปลอดภัยที่นำไปใช้ได้จริง คุณปฏิบัติ Linux Server Deployment & SSH Mastery ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Linux Server Deployment & SSH Mastery หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน Linux Server Deployment & SSH Mastery บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน

บทเรียน “การบันทึกแบบรวมศูนย์และการผสานรวม SIEM” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน Linux Server Deployment & SSH Mastery นี้ได้ไหม

ได้ บทเรียน Linux Server Deployment & SSH Mastery ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

← กลับไปที่ Linux Server Deployment & SSH Mastery