Günlükler, Syslog ve Uyarılar

Günlük kaydı, oturum açma, arayüz değişikliği, düşürülen paket veya hata gibi bir olayın zaman damgalı kaydıdır. Günlükler ağın belleğidir. Bir şey bozulduğunda günlükler ne olduğunu ve ne zaman olduğunu yeniden oluşturmanızı sağlar. Günlük kaydı tutulmadığında sorun giderme tahmine dönüşür. Günlük kaydı tutulduğunda ise kök nedene kadar izi sürmek için kanıtınız olur.

Sistem günlüğü, ağ ve Unix benzeri sistemlerde olay iletileri oluşturup göndermeye yönelik uzun süredir kullanılan standarttır. Cihazlar sistem günlüğü iletileri üretir ve bunları merkezi bir sistem günlüğü sunucusuna iletebilir. Bu merkezileştirme güçlüdür: 50 cihazda oturum açmak yerine tek bir yerde arama yaparsınız. Sistem günlüğü genellikle UDP'nin 514 numaralı bağlantı noktası üzerinden taşınır.

Merkezi günlük kaydı, birçok cihazdan gelen günlükleri tek bir sunucuda veya platformda toplar. Bunun üç faydası vardır: cihazlar arasındaki olayları ilişkilendirirsiniz, bir cihaz silinse veya arızalansa bile günlükleri korursunuz ve her şeyi aynı anda ararsınız. Saldırganlar izlerini gizlemek için çoğu zaman yerel günlükleri silmeye çalıştığından, merkezi bir günlük deposu güvenlik açısından da hayati önem taşır.

Sistem günlüğü, iletileri 0'dan 7'ye kadar önem derecesine göre sıralar. Sayı küçüldükçe aciliyet artar:

• 0 Acil durum, 1 Uyarı, 2 Kritik
• 3 Hata, 4 İkaz
• 5 Bildirim, 6 Bilgilendirme, 7 Hata ayıklama

Gürültülü hata ayıklama iletilerinin kritik olanları gömmemesi için genellikle filtreleme yaparsınız. 0'ın en yüksek önem derecesi olduğunu bilmek öncelik belirlemenize yardımcı olur.

Her sistem günlüğü iletisi, çekirdek, posta sistemi veya kimlik doğrulama alt sistemi gibi nereden geldiğini belirten bir birim kodu da taşır. Birim, önem derecesiyle birlikte iletileri yönlendirmenize ve filtrelemenize yardımcı olur; örneğin tüm kimlik doğrulama başarısızlıklarını bir güvenlik ekibine gönderebilirsiniz. Birim ve önem derecesi birlikte bir olayın hem "ne" olduğunu hem de "nereden" geldiğini açıklar.

Tipik bir günlük satırında zaman damgası, kaynak ana bilgisayar veya cihaz, birim ve önem derecesi ile insanların okuyabileceği bir ileti bulunur. Doğru zaman damgaları çok önemlidir; bu nedenle cihazlar saatlerini NTP ile eşitler. İki cihazın zamanı uyuşmazsa olay sırasında günlüklerini ilişkilendirmek neredeyse imkânsız hale gelir.

Günlükler pasif kayıtlardır, ancak bunların üzerine uyarılar oluşturabilirsiniz. Bir izleme sistemi gelen günlükleri izler ve bir dakika içinde beş başarısız oturum açma veya herhangi bir "kritik" ileti gibi örüntülere tepki verir. Uyarı, personele e-posta gönderebilir, kısa mesaj iletebilir veya çağrı cihazına bildirim gönderebilir. Böylece sessiz bir günlük akışı, dikkat gerektiren etkin ve zamanında uyarılara dönüşür.

Bir SIEM (Güvenlik Bilgileri ve Olay Yönetimi) sistemi ağın çeşitli noktalarından günlükleri toplar, bunları standartlaştırır ve tehditleri tespit etmek için olayları ilişkilendirir. Örneğin bir SIEM, güvenlik duvarı engellemesini, başarısız bir oturum açmayı ve yeni bir yönetici hesabını tek bir şüpheli olay zinciri olarak ilişkilendirebilir. SIEM sistemleri günlük kaydını, uyarıları ve çözümlemeyi birleştirir ve modern güvenlik operasyonlarının merkezinde yer alır.

Saklama, günlükleri ne kadar süreyle tuttuğunuzdur. Süre çok kısa olursa soruşturma için gereken geçmişi kaybedersiniz; çok uzun olursa depolama maliyetleri artar. Birçok kuruluş ve düzenleme, günlüklerin aylarca veya yıllarca saklanmasını gerektirir. Saklama politikası soruşturma değerini, uyumluluk kurallarını ve depolama kapasitesini dengeler ve bir olaydan sonra değil, önceden belirlenir.

Günlükleri ilişkilendirmek tutarlı zamana bağlı olduğundan her cihaz, saatini ortak bir kaynakla eşitlemek için NTP (Ağ Zaman Protokolü) kullanmalıdır. Zaman eşitlendiğinde güvenlik duvarındaki bir günlük ile sunucudaki bir günlük saniyesi saniyesine örtüşür ve bir olayın izlediği yolu takip etmenizi sağlar. Uyuşmayan saatler, kafa karıştırıcı soruşturmaların klasik ve can sıkıcı bir nedenidir.

Tüm izleme işlemlerinde olduğu gibi uyarılar da ayarlanmalıdır. Çok fazla uyarı uyarı yorgunluğuna neden olur ve önemli uyarılar göz ardı edilir; çok az uyarı ise gerçek olayların fark edilmeden geçmesine yol açar. İyi bir uygulama, yüksek önem dereceli olaylar ve anlamlı örüntüler için uyarı vermek, bilinen gürültülü iletileri bastırmak ve ağ değiştikçe uyarı kurallarını düzenli olarak gözden geçirmektir.

Günlük kaydı bilginizi sınayın.

Günlük kaydı ve uyarılar hakkında bilgi edindiniz. Temel noktalar:

• Günlükler zaman damgalı olay kayıtlarıdır; sistem günlüğü bunları standartlaştırır (UDP 514).
• Merkezi günlük kaydı ilişkilendirmeye, korumaya ve aramaya yardımcı olur.
• Önem derecesi 0'dan (Acil durum) 7'ye (Hata ayıklama) kadar uzanır; sayı küçüldükçe aciliyet artar.
• Bir SIEM, tehditleri tespit etmek için günlükleri ilişkilendirir.
• NTP, günlüklerin zaman açısından örtüşmesi için saatleri eşitler.