บันทึก ระบบ Syslog และการแจ้งเตือน

บันทึกคือระเบียนเหตุการณ์ที่มีการประทับเวลา เช่น การเข้าสู่ระบบ การเปลี่ยนแปลงอินเทอร์เฟซ แพ็กเก็ตที่ถูกทิ้ง หรือข้อผิดพลาด บันทึกคือความทรงจำของเครือข่าย เมื่อเกิดสิ่งผิดปกติ บันทึกช่วยให้คุณสร้างเหตุการณ์ขึ้นใหม่ได้ว่าเกิดอะไรขึ้นและเกิดขึ้นเมื่อใด หากไม่มีการบันทึก การแก้ไขปัญหาจะกลายเป็นการคาดเดา แต่เมื่อมีบันทึก คุณจะมีหลักฐานสำหรับติดตามย้อนกลับไปหาสาเหตุรากเหง้า

Syslogเป็นมาตรฐานที่ใช้มาอย่างยาวนานสำหรับสร้างและส่งข้อความเหตุการณ์บนระบบเครือข่ายและระบบที่คล้าย Unix อุปกรณ์จะสร้างข้อความ Syslog และส่งต่อไปยังเซิร์ฟเวอร์ Syslogส่วนกลางได้ การรวมไว้ที่ส่วนกลางมีประโยชน์มาก เพราะแทนที่จะเข้าสู่ระบบอุปกรณ์ 50 เครื่อง คุณสามารถค้นหาจากที่เดียวได้ โดยทั่วไป Syslog จะส่งผ่านพอร์ต UDP 514

การบันทึกแบบรวมศูนย์จะรวบรวมบันทึกจากอุปกรณ์จำนวนมากไว้ในเซิร์ฟเวอร์หรือแพลตฟอร์มเดียว วิธีนี้ช่วยได้สามประการ: คุณเชื่อมโยงเหตุการณ์ระหว่างอุปกรณ์ต่าง ๆ ได้ คุณยังคงมีบันทึกแม้อุปกรณ์จะถูกล้างข้อมูลหรือขัดข้อง และคุณค้นหาทุกอย่างได้ในครั้งเดียว ที่เก็บบันทึกส่วนกลางยังสำคัญต่อความปลอดภัยด้วย เพราะผู้โจมตีมักพยายามลบบันทึกในเครื่องเพื่อซ่อนร่องรอย

Syslog จัดอันดับข้อความตามระดับความรุนแรงตั้งแต่ 0 ถึง 7 ตัวเลขที่ต่ำกว่าจะเร่งด่วนกว่า:

• 0 ฉุกเฉิน, 1 แจ้งเตือน, 2 วิกฤต
• 3 ข้อผิดพลาด, 4 คำเตือน
• 5 ประกาศ, 6 ข้อมูล, 7 ดีบัก

โดยปกติคุณจะกรองข้อความดีบักที่มีจำนวนมาก เพื่อไม่ให้บดบังข้อความวิกฤต การรู้ว่า 0 มีความรุนแรงสูงสุดช่วยให้คุณจัดลำดับความสำคัญได้

ข้อความ Syslog แต่ละข้อความยังมีรหัสสิ่งอำนวยความสะดวกที่ระบุแหล่งที่มา เช่น เคอร์เนล ระบบจดหมาย หรือระบบย่อยตรวจสอบสิทธิ์ เมื่อใช้ร่วมกับระดับความรุนแรง สิ่งอำนวยความสะดวกจะช่วยให้คุณกำหนดเส้นทางและกรองข้อความได้ เช่น ส่งความล้มเหลวในการตรวจสอบสิทธิ์ทั้งหมดไปยังทีมรักษาความปลอดภัย เมื่อนำสิ่งอำนวยความสะดวกและระดับความรุนแรงมารวมกัน จะอธิบายได้ทั้ง "อะไร" และ "มาจากที่ใด" ของเหตุการณ์

บรรทัดบันทึกทั่วไปประกอบด้วยการประทับเวลา แหล่งที่มาโฮสต์หรืออุปกรณ์ สิ่งอำนวยความสะดวกและระดับความรุนแรง รวมถึงข้อความที่มนุษย์อ่านได้ การประทับเวลาที่ถูกต้องเป็นสิ่งจำเป็น นี่จึงเป็นเหตุผลที่อุปกรณ์ซิงโครไนซ์นาฬิกาด้วย NTP หากอุปกรณ์สองเครื่องมีเวลาไม่ตรงกัน การเชื่อมโยงบันทึกระหว่างเหตุการณ์ด้านความปลอดภัยแทบจะเป็นไปไม่ได้

บันทึกเป็นระเบียนเชิงรับ แต่คุณสามารถสร้างการแจ้งเตือนจากบันทึกเหล่านั้นได้ ระบบเฝ้าระวังจะตรวจดูบันทึกขาเข้าและตอบสนองต่อรูปแบบต่าง ๆ เช่น การเข้าสู่ระบบล้มเหลวห้าครั้งภายในหนึ่งนาที หรือข้อความใด ๆ ที่ระบุว่า "วิกฤต" การแจ้งเตือนอาจส่งอีเมล ข้อความ หรือเรียกเจ้าหน้าที่ วิธีนี้เปลี่ยนกระแสบันทึกที่เงียบงันให้กลายเป็นคำเตือนเชิงรุกที่ทันท่วงทีและต้องได้รับความสนใจ

ระบบ SIEM (Security Information and Event Management)รวบรวมบันทึกจากทั่วทั้งเครือข่าย ปรับรูปแบบให้เป็นมาตรฐาน และเชื่อมโยงเหตุการณ์เพื่อตรวจจับภัยคุกคาม ตัวอย่างเช่น SIEM อาจเชื่อมโยงการบล็อกของไฟร์วอลล์ การเข้าสู่ระบบที่ล้มเหลว และบัญชีผู้ดูแลระบบใหม่ให้เป็นเหตุการณ์น่าสงสัยเรื่องเดียวกัน SIEM ผสานการบันทึก การแจ้งเตือน และการวิเคราะห์เข้าด้วยกัน จึงเป็นศูนย์กลางของการปฏิบัติงานด้านความปลอดภัยสมัยใหม่

การเก็บรักษาหมายถึงระยะเวลาที่คุณเก็บบันทึกไว้ หากสั้นเกินไป คุณจะสูญเสียประวัติที่จำเป็นต่อการสืบสวน หากนานเกินไป ค่าใช้จ่ายด้านพื้นที่จัดเก็บจะเพิ่มขึ้น หลายองค์กรและข้อบังคับกำหนดให้เก็บบันทึกเป็นเวลาหลายเดือนหรือหลายปี นโยบายการเก็บรักษาต้องสร้างสมดุลระหว่างคุณค่าต่อการสืบสวน ข้อกำหนดด้านการปฏิบัติตามกฎ และความจุในการจัดเก็บ อีกทั้งควรกำหนดไว้ล่วงหน้า ไม่ใช่หลังเกิดเหตุการณ์

เนื่องจากการเชื่อมโยงบันทึกขึ้นอยู่กับเวลาที่สอดคล้องกัน อุปกรณ์ทุกเครื่องจึงควรใช้ NTP (Network Time Protocol)เพื่อซิงโครไนซ์นาฬิกากับแหล่งเวลาร่วม เมื่อเวลาซิงโครไนซ์แล้ว บันทึกบนไฟร์วอลล์และบันทึกบนเซิร์ฟเวอร์จะตรงกันถึงระดับวินาที ทำให้คุณติดตามเส้นทางของเหตุการณ์ได้ นาฬิกาที่ไม่ตรงกันเป็นสาเหตุคลาสสิกที่สร้างความยุ่งยากให้การสืบสวนที่สับสน

เช่นเดียวกับการเฝ้าระวังทุกประเภท การแจ้งเตือนต้องได้รับการปรับแต่ง การแจ้งเตือนที่มากเกินไปทำให้เกิดความล้าจากการแจ้งเตือนและคำเตือนสำคัญจะถูกมองข้าม ส่วนการแจ้งเตือนที่น้อยเกินไปทำให้เหตุการณ์จริงหลุดรอดไปได้ แนวทางที่ดีคือแจ้งเตือนเหตุการณ์ที่มีความรุนแรงสูงและรูปแบบที่มีความหมาย ระงับข้อความที่ทราบว่ามีเสียงรบกวนมาก และทบทวนกฎการแจ้งเตือนเป็นประจำเมื่อเครือข่ายเปลี่ยนแปลง

ทดสอบความรู้เกี่ยวกับการบันทึกของคุณ

คุณได้เรียนรู้เกี่ยวกับการบันทึกและการแจ้งเตือนแล้ว ประเด็นสำคัญ:

• บันทึกคือระเบียนเหตุการณ์ที่มีการประทับเวลา ส่วนsyslogทำให้บันทึกเหล่านี้เป็นมาตรฐาน (UDP 514)
• การบันทึกแบบรวมศูนย์ช่วยในการเชื่อมโยง การเก็บรักษา และการค้นหา
• ระดับความรุนแรงมีตั้งแต่ 0 (ฉุกเฉิน) ถึง 7 (ดีบัก) โดยค่าต่ำกว่าจะเร่งด่วนกว่า
• SIEMเชื่อมโยงบันทึกเพื่อตรวจจับภัยคุกคาม
• NTPทำให้นาฬิกาต่าง ๆ ตรงกัน เพื่อให้บันทึกสอดคล้องกัน