日志、Syslog 和警报

日志是带有时间戳的事件记录，例如登录、接口更改、数据包丢弃或错误。日志是网络的记忆。当出现故障时，日志可以让您重建事情发生的经过和时间。没有日志记录，故障排查就会变成猜测；有了日志，您就有证据沿着线索追溯到根本原因。

系统日志是网络系统和类 Unix 系统中用于生成和发送事件消息的长期标准。设备会生成系统日志消息，并可将其转发到中央系统日志服务器。集中管理非常有用：您无需分别登录 50 台设备，只需在一个位置进行搜索。系统日志通常通过 UDP 端口 514传输。

集中式日志记录会将许多设备的日志收集到一台服务器或一个平台中。这有三方面的帮助：您可以关联不同设备上的事件，即使设备被擦除或发生故障也能保留日志，还可以一次搜索所有内容。中央日志存储对安全性也至关重要，因为攻击者经常试图擦除本地日志来掩盖踪迹。

系统日志会按严重性将消息分为 0 到 7 级。数字越小越紧急：

• 0 紧急，1 警报，2 严重
• 3 错误，4 警告
• 5 通知，6 信息，7 调试

通常需要进行筛选，以免嘈杂的调试消息淹没重要消息。了解 0 级最严重，有助于您确定处理优先级。

每条系统日志消息还带有一个设施代码，用于指示消息来源，例如内核、邮件系统或身份验证子系统。结合严重性后，设施信息可以帮助您路由和筛选消息，例如将所有身份验证失败消息发送给安全团队。设施和严重性共同描述了事件的“内容”以及“来源”。

典型的日志行包括时间戳、源主机或设备、设施和严重性，以及人类可读的消息。准确的时间戳至关重要，这也是设备使用 NTP 同步时钟的原因。如果两台设备的时间不一致，那么在事件期间关联它们的日志几乎是不可能的。

日志是被动记录，但您可以在其基础上构建警报。监控系统会监视传入日志并对特定模式做出反应，例如一分钟内五次登录失败，或出现任何“严重”消息。警报可以通过电子邮件、短信或寻呼通知工作人员。这样，安静的日志流就会变成需要关注的主动、及时的警告。

SIEM（安全信息和事件管理）系统会收集整个网络中的日志，对其进行规范化处理，并关联事件以检测威胁。例如，SIEM 可能会将防火墙阻止、登录失败和新建管理员帐户关联成一个可疑事件。SIEM 将日志记录、警报和分析结合起来，是现代安全运营的核心。

保留期限是指日志保存多长时间。时间太短，会丢失调查所需的历史记录；时间太长，则会增加存储成本。许多组织和法规要求将日志保存数月或数年。保留策略需要平衡调查价值、合规要求和存储容量，并应提前制定，而不是等事件发生后再决定。

由于日志关联依赖一致的时间，每台设备都应使用 NTP（网络时间协议）将时钟同步到同一个时间源。时间同步后，防火墙上的日志和服务器上的日志可以精确到秒地对应起来，从而让您追踪事件路径。时钟不一致是导致调查结果混乱且令人沮丧的典型原因。

与所有监控工作一样，警报也必须进行调整。警报过多会导致警报疲劳，使重要警告被忽略；警报过少则会让真实事件漏网。良好的做法是针对高严重性事件和有意义的模式发出警报，抑制已知的嘈杂消息，并随着网络变化定期检查警报规则。

测试您对日志记录的了解。

您已经了解了日志记录和警报。要点：

• 日志是带时间戳的事件记录；系统日志对其进行了标准化（UDP 514）。
• 集中式日志记录有助于事件关联、日志保留和搜索。
• 严重性从 0（紧急）到 7（调试）；数字越小越紧急。
• SIEM通过关联日志来检测威胁。
• NTP使时钟保持同步，从而让日志能够对应起来。