搜索

[20981] 2020-04-24_日志管理与分析（六）--日志的审核与响应

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-04-24_日志管理与分析（六）--日志的审核与响应 日 志 管 理 与 分 析 （ 六 ） - - 日 志 的 审 核 与 响 应 原 创   L e m o n   S e c P u l s e 安 全 脉 搏   2 0 2 0 - 0 4 - 2 4 日 志 管 理 与 分 析 系 列 如 果 你 的 企 业 没 有 认 真 地 对 待 日 志 ， 那 么 就 可 以 说 明 你 的 企 业 对 I T 可 审 核 性 并 不 重 视 ， 这 也 就 是 日 志 记 录 成 为 一 种 完 善 的 依 从 性 技 术 ， 许 多 法 规 和 法 律 以 及 最 佳 实 践 框 架 都 对 此 作 出 强 制 性 要 求 的 原 因 。 日 志 管 理 与 分 析 （ 四 ） 重 点 在 于 根 据 P C I   D S S 以 及 I S O 2 7 0 0 1 标 准 的 日 志 的 管 理 规 程 。 h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 1 0 6 1 2 . h t m l 。 健 壮 的 日 志 分 析 系 统 ， 依 赖 于 所 分 析 日 志 数 据 的 完 整 性 。 该 系 统 必 须 对 修 改 和 删 除 数 据 的 企 图 有 适 应 能 力 ， 在 此 基 础 上 ， 它 还 必 须 对 日 志 数 据 的 访 问 进 行 细 粒 度 的 控 制 。 若 日 志 数 据 作 为 法 律 上 的 证 据 ， 说 明 日 志 数 据 完 整 性 的 能 力 ， 对 于 该 数 据 是 否 被 视 为 可 接 受 的 证 据 ， 有 着 很 大 的 影 响 。 h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 1 0 4 5 4 . h t m l 。 无 论 是 对 日 志 系 统 的 分 析 还 是 为 了 满 足 依 从 性 ， 日 志 审 核 都 是 进 入 调 查 过 程 的 起 点 ， 而 且 能 够 为 你 进 行 满 足 企 业 自 身 、 监 管 或 者 其 他 强 制 要 求 的 活 动 提 供 保 证 。 日 志 记 录 策 略 、 审 核 、 响 应 、 升 级 规 程 、 用 日 志 管 理 工 具 构 建 一 个 初 始 基 线 以 及 每 天 的 日 志 审 计 。 接 以 上 内 容 下 面 对 日 志 审 核 分 析 进 行 介 绍 。 1 .   异 常 调 查 与 分 析 异 常 调 查 与 分 析 不 匹 配 正 常 配 置 的 消 息 被 标 记 为 “ 异 常 ” 。 需 要 注 意 的 是 ， 异 常 不 等 同 于 安 全 事 故 ， 但 可 能 是 安 全 事 故 发 生 的 早 期 指 示 。 在 这 一 阶 段 ， 有 了 一 条 正 常 运 营 之 外 的 日 志 消 息 。 该 如 何 确 定 他 是 否 严 重 ， 如 何 确 定 其 对 安 全 和 P C I 依 从 性 状 态 的 影 响 呢 。 1 . 1   初 始 调 查 初 始 调 查 图 展 示 了 对 每 个 “ 异 常 ” 消 息 使 用 的 调 查 过 程 （ “ 初 始 调 查 ” ） 的 概 要 情 况 。   确 切 的 说 ， 这 展 示 了 一 个 使 用 日 志 调 查 检 查 列 表 的 过 程 ， 下 面 详 细 介 绍 这 个 列 表 ： 1 ） 查 看 同 一 时 间 的 日 志 消 息 ： 这 一 技 术 围 绕 时 间 范 围 - - 涉 及 所 调 查 日 志 的 消 息 。 大 部 分 日 志 管 理 产 品 能 够 审 核 或 者 搜 索 特 定 时 间 范 围 内 的 所 有 日 志 。 例 如 ：
a ） 首 先 ， 查 看 “ 可 疑 日 志 ” 前 后 1 分 钟 触 发 的 其 他 日 志 。 b ） 其 次 ， 查 看 “ 可 疑 日 志 ” 前 后 1 0 分 钟 触 发 的 其 他 日 志 。 c ） 最 后 ， 查 看 “ 可 疑 日 志 ” 前 后 1 小 时 触 发 的 其 他 日 志 。 2 ） 查 看 来 自 同 一 用 户 的 其 他 消 息 ： 包 含 搜 索 同 一 用 户 的 活 动 生 成 的 其 他 日 志 消 息 。 常 常 发 生 这 种 情 况 ， 用 户 活 动 的 特 定 日 志 事 件 只 能 在 同 一 用 户 其 他 活 动 的 上 下 文 中 解 读 。 大 部 分 日 志 管 理 产 品 允 许 你 搜 索 特 定 时 间 范 围 内 的 特 定 用 户 。 3 ） 查 看 其 他 系 统 上 的 同 类 消 息 ： 这 种 方 法 包 括 搜 索 其 他 同 类 日 志 信 息 ， 但 是 在 不 同 的 系 统 上 进 行 ， 以 确 定 其 影 响 。 例 如 W A F 以 及 I D S 会 同 时 记 录 该 用 户 告 警 行 为 ， 了 解 其 他 系 统 上 何 时 产 生 相 同 的 消 息 ， 可 以 得 到 日 志 消 息 的 线 索 。 4 ） 查 看 来 自 同 一 源 的 消 息 （ 如 果 适 用 的 话 ） ： 这 种 方 法 需 要 审 核 来 自 网 络 相 关 源 地 址 的 其 他 日 志 消 息 。 5 ） 查 看 来 自 同 一 应 用 程 序 模 块 的 消 息 （ 如 果 适 用 的 话 ） ： 这 种 方 法 需 要 审 核 来 自 同 一 个 应 用 程 序 模 块 或 者 组 件 的 所 有 日 志 消 息 。 同 一 时 间 范 围 的 其 他 消 息 可 能 很 重 要 ， 但 是 审 核 来 自 相 同 组 件 的 最 近 日 志 一 般 有 助 于 揭 示 真 实 的 情 况 。 在 某 种 情 况 下 ， 上 述 检 查 列 表 可 能 没 有 作 用 。 也 就 是 说 ， 异 常 日 志 消 息 对 安 全 和 P C I 依 从 性 的 影 响 是 未 知 的 。 在 这 种 情 况 下 ， 我 们 必 须 从 其 他 系 统 获 得 信 息 ， 例 如 文 件 完 整 性 监 控 （ F I M ） 、 补 丁 管 理 （ P M ） 、 变 更 管 理 （ C M ） 和 其 他 系 统 。 1 . 2   外 部 信 息 源 调 查 外 部 信 息 源 调 查 调 查 日 志 规 程 可 以 扩 展 ， 覆 盖 企 业 的 其 他 可 用 信 息 源 。 下 图 展 示 了 在 调 查 中 使 用 外 部 信 息 源 所 遵 守 的 规 程 。   这 一 规 程 的 主 要 思 路 是 根 据 异 常 日 志 消 息 的 类 型 来 识 别 并 查 询 信 息 源 ， 然 后 识 别 其 影 响 和 必 要 的 行 动 （ 如 果 有 的 话 ） 。 该 规 程 粗 略 地 确 定 日 志 消 息 的 类 型 ， 然 后 查 询 相 关 的 信 息 源 。 在 某 些 情 况 下 ， 这 种 日 志 消 息 确 实 是 严 重 问 题 的 征 兆 ， 会 触 发 事 故 响 应 过 程 。 但 是 ， 有 时 候 初 步 分 析 和 外 部 系 统 查 询 都 不 能 得 到 结 果 ， 这 样 的 “ 异 常 ” 日 志 很 罕 见 。 在 这 种 情 况 下 ， 触 发 协 作 工 作 流 。 1 . 3   升 级 到 其 他 规 程 升 级 到 其 他 规 程 本 规 程 可 以 利 用 组 织 中 其 他 人 的 知 识 ， 这 些 人 可 能 了 解 “ 异 常 ” 情 况 。 调 查 和 升 级 过 程 如 图 。
  这 一 规 程 的 主 要 思 路 是 找 出 可 能 了 解 应 用 程 序 中 发 生 的 事 件 的 合 适 人 员 ， 并 与 之 面 谈 ， 确 定 事 件 的 影 响 和 必 要 的 行 动 。 最 后 的 资 源 是 咨 询 应 用 程 序 供 应 商 ， 这 种 信 息 请 求 通 常 很 费 时 ， 甚 至 很 昂 贵 ， 所 以 应 该 审 慎 使 用 。 2 .   事 故 响 应 和 升 级 事 故 响 应 和 升 级 迄 今 为 止 介 绍 的 许 多 工 作 流 依 赖 事 故 响 应 （ I R ） 和 升 级 。 但 是 ， 什 么 是 事 故 响 应 和 升 级 ？ 在 日 志 管 理 和 I T 的 一 般 概 念 中 ， 升 级 规 程 用 于 确 定 何 时 应 该 升 级 所 发 生 的 情 况 。 图 展 示 了 S A N S 定 义 的 I R 过 程 。   准 备 阶 段 包 括 事 故 之 前 必 须 完 成 的 任 务 ： 从 组 建 团 队 、 训 练 人 员 、 收 集 和 构 建 工 具 ， 到 部 署 监 控 和 创 建 过 程 及 事 故 规 程 。 这 也 是 你 开 发 升 级 规 程 / 策 略 的 时 机 。 这 一 策 略 是 关 于 合 适 的 个 人 、 团 体 之 间 的 沟 通 。 识 别 阶 段 从 事 故 的 征 兆 被 发 现 开 始 。 这 不 仅 是 I D S 警 报 有 关 （ 实 际 上 这 种 情 况 也 不 太 多 ） 。 例 如 ， 持 续 的 C P U 利 用 、 系 统 重 启 和 维 护 窗 口 之 外 的 配 置 更 改 等 ， 都 是 说 明 发 生 了 某 些 值 得 进 一 步 注 意 的 事 件 的 信 号 。 控 制 阶 段 对 于 在 文 档 中 记 录 发 生 的 情 况 、 隔 离 受 影 响 系 统 （ 甚 至 区 域 ） 以 及 进 行 著 名 的 “ 拔 线 ” 操 作 （ 也 就 是 断 开 或 者 关 闭 系 统 ） 来 说 很 重 要 。 在 这 一 阶 段 ， 我 们 还 试 图 审 核 其 他 系 统 可 能 受 到 的 影 响 和 损 害 ， 评 估 破 坏 范 围 。 根 除 阶 段 中 ， 我 们 评 估 可 用 备 份 ， 准 备 恢 复 或 者 重 建 系 统 ， 为 回 到 正 常 状 态 做 准 备 。 这 一 阶 段 还 要 规 划 网 络 的 更 改 。
恢 复 阶 段 是 一 切 回 到 正 常 的 阶 段 。 在 此 阶 段 要 起 用 额 外 的 日 志 记 录 和 监 控 。 在 跟 踪 阶 段 ， 你 讨 论 和 记 录 得 到 的 教 训 ， 向 管 理 层 报 告 事 故 ， 并 规 划 未 来 事 故 处 理 中 的 改 进 。 这 一 阶 段 也 常 称 为 后 续 阶 段 。 3 .   日 志 审 核 的 验 证 日 志 审 核 的 验 证 日 志 审 核 最 后 的 关 键 部 分 是 确 保 有 足 够 的 证 据 ， 证 明 这 一 过 程 被 真 正 严 格 地 实 施 。 好 消 息 是 ， 可 以 使 用 日 志 记 录 和 日 志 审 核 过 程 管 理 报 告 中 的 相 同 数 据 。 首 先 ， 常 见 的 错 误 概 念 是 用 实 际 的 日 志 来 提 供 这 种 证 明 。 这 并 不 正 确 ： “ 有 日 志 ” 和 “ 审 核 了 日 志 ” 是 完 全 不 同 的 概 念 ， 有 时 候 ， 需 要 对 安 全 和 依 从 性 进 行 多 年 的 成 熟 化 ， 才 能 分 辨 这 两 者 。 只 需 要 记 住 ， 在 P C I   D S S 依 从 性 验 证 中 ， 我 们 需 要 证 明 多 个 主 要 的 部 分 。 下 面 是 需 要 组 合 的 所 有 依 从 性 证 据 的 总 列 表 。 和 其 他 小 节 不 同 ， 在 此 我 们 将 包 含 日 志 记 录 的 证 据 ， 而 不 只 是 日 志 审 核 的 证 据 ， 因 为 后 者 依 赖 于 前 者 ： · 日 志 记 录 的 存 在 和 充 足 性 。 · 日 志 审 核 过 程 的 存 在 及 其 实 施 。 · 异 常 处 理 过 程 及 其 实 施 。 现 在 ， 我 们 可 以 围 绕 这 些 领 域 组 织 证 据 ， 然 后 构 建 过 程 来 收 集 这 些 证 据 。 3 . 1   日 志 记 录 的 证 据 日 志 记 录 的 证 据 第 一 类 证 据 是 日 志 记 录 存 在 和 充 足 性 的 证 据 。 这 一 部 分 是 三 者 中 最 容 易 证 明 的 。 下 面 的 项 目 可 以 作 为 日 志 记 录 的 证 据 ： 1 ） 有 文 档 证 明 的 日 志 记 录 策 略 ， 包 括 记 录 的 事 件 和 每 个 事 件 记 录 的 细 节 。 2 ） 实 施 上 述 策 略 的 系 统 / 应 用 程 序 配 置 文 件 。 3 ） 上 述 应 用 程 序 生 成 的 ， 符 合 策 略 的 日 志 。 3 . 2   日 志 审 核 的 证 据 日 志 审 核 的 证 据 第 二 类 ： 日 志 审 核 过 程 及 其 实 施 的 证 明 。 这 一 部 分 比 前 一 部 分 更 难 证 明 。 下 面 是 可 以 作 为 日 志 审 核 证 据 的 项 目 ： 1 ) 有 文 档 证 明 的 日 志 记 录 策 略 ， 涵 盖 日 志 审 核 。 2 ) 有 文 档 证 明 的 操 作 规 程 ， 详 细 说 明 日 志 审 核 的 步 骤 。 3 ) 相 关 人 员 执 行 的 日 志 审 核 任 务 记 录 （ 有 些 日 志 管 理 产 品 创 建 一 个 审 核 报 告 和 事 件 的 审 计 记 录 ； 这 种 审 计 跟 踪 应 该 涵 盖 ） ， 这 个 项 目 可 以 视 为 “ 日 志 审 核 日 志 ” 4 ) 调 查 的 异 常 情 况 记 录 也 间 接 地 证 明 日 志 审 核 的 进 行 。 3 . 3   异 常 处 理 的 证 据 异 常 处 理 的 证 据 第 三 类 ： 异 常 处 理 的 过 程 及 其 实 施 的 证 据 。 这 一 部 分 是 目 前 为 止 最 难 以 证 明 的 。 下 面 的 项 目 可 以 作 为 日 志 异 常 处 理 的 证 据 ： 1 ） 有 文 档 证 明 的 日 志 记 录 策 略 ， 涵 盖 异 常 及 其 处 理 。 2 ） 有 文 档 证 明 的 操 作 规 程 ， 详 细 说 明 日 志 审 核 中 找 到 的 异 常 的 调 查 步 骤 。 3 ） 所 有 异 常 调 查 及 所 采 取 的 行 动 的 日 志 （ “ 日 志 薄 ” ） 上 述 的 特 征 应 该 能 为 组 织 认 真 遵 循 P C I   D S S 原 则 提 供 充 足 的 证 据 。 我 们 将 重 点 放 在 这 一 证 据 额 产 生 的 。 P C I 依 从 性 日 志 记 录 子 域 依 从 性 证 据 如 何 获 取 证 据 日 志 记 录 存 在 和 充 足 的 证 据 有 文 档 证 明 的 日 志 记 录 策 略 如 果 不 存 在 策 略 ， 则 创 建 日 志 记 录 存 在 和 充 足 的 证 据 系 统 / 应 用 程 序 配 置 文 件 部 署 之 后 ， 保 存 配 置 文 件 作 为 主 拷 贝 日 志 记 录 存 在 和 充 足 的 证 据 上 述 应 用 程 序 生 成 的 日 志 收 集 日 志 样 本 ， 保 存 为 依 从 性 的 证 据 日 志 审 核 的 证 据 有 文 档 证 明 的 日 志 记 录 策 略 如 果 不 存 在 策 略 ， 则 创 建 日 志 审 核 的 证 据 有 文 档 证 明 的 操 作 规 程 根 据 本 章 的 工 作 流 和 规 程 创 建 日 志 审 核 的 证 据 执 行 的 日 志 审 核 任 务 记 录 使 用 工 具 或 者 创 建 一 个 “ 日 志 薄 ” 日 志 审 核 的 证 据 所 调 查 的 异 常 情 况 的 记 录 创 建 一 个 调 查 “ 日 志 薄 ” 异 常 处 理 的 证 据 有 文 档 证 明 的 日 志 记 录 策 略 如 果 不 存 在 策 略 ， 则 创 建 异 常 处 理 的 证 据 有 文 档 证 明 的 操 作 规 程 根 据 本 章 的 工 作 流 和 规 程 创 建 日 志 审 核 的 证 据 所 调 查 的 所 有 异 常 情 况 的 记 录 创 建 一 个 调 查 “ 日 志 薄 ” 或 者 知 识 库 上 述 列 表 中 关 键 的 项 目 是 “ 日 志 薄 ” ， 它 用 于 记 录 异 常 的 跟 踪 和 调 查 ， 从 而 创 建 了 P C I   D S S 需 求 依 从 性 的 有 力 证 据 。 日 志 薄 甚 至 可 以 成 长 为 更 加 高 级 的 形 式 - - 包 含 过 去 所 有 异 常 分 析 案 例 的 调 查 “ 知 识 库 ” 。 4 .   日 志 薄 日 志 薄 - - 异 常 调 查 的 证 据 异 常 调 查 的 证 据 日 志 薄 用 于 记 录 日 常 审 核 期 间 标 记 的 异 常 的 分 析 和 调 查 相 关 的 所 有 情 况 。 虽 然 事 故 处 理 过 程 中 使 用 相 同 的 日 志 薄 方 法 ， 但 在 这 里 我 们 将 其 当 做 依 从 性 的 证 据 。 日 志 薄 应 该 记 录 所 有 涉 及 的 系 统 ， 所 有 面 谈 过 的 人 ， 采 取 的 所 有 行 动 及 其 理 由 ， 得 到 的 结 果 ， 使 用 的 工 具 和 命 令 （ 及 其 结 果 ） 等 。 4 . 1   日 志 薄 推 荐 格 式 日 志 薄 推 荐 格 式 日 志 薄 条 目 应 该 包 含 如 下 内 容 ： 1 ） 日 志 薄 条 目 开 始 的 日 期 / 时 间 / 时 区 。 2 ） 启 动 日 志 薄 条 目 的 人 的 姓 名 和 角 色 。 3 ） 启 动 该 条 目 的 理 由 ： 记 录 异 常 （ 从 日 志 聚 合 工 具 或 者 原 始 日 志 文 件 中 复 制 而 来 ） 、 确 保 复 制 整 个 日 志 ， 尤 其 是 时 间 戳 （ 可 能 不 同 于 记 录 时 间 ） 和 来 源 系 统 （ 什 么 / 何 时 / 何 地 ， 等 等 ） 。 4 ） 详 细 说 明 日 志 为 什 么 不 正 常 ， 为 什 么 进 行 这 项 分 析 。 5 ） 产 生 异 常 日 志 记 录 或 者 与 日 志 异 常 相 关 的 系 统 的 相 关 情 况 。 a ） 主 机 名 b ） 操 作 系 统 c ） 应 用 程 序 名
d ） I P 地 址 e ） 位 置 f ） 所 有 权 g ） 系 统 关 键 性 h ） 在 补 丁 管 理 、 变 更 管 理 、 F I M 等 过 程 中 。 6 ） 产 生 该 日 志 的 活 动 的 用 户 相 关 信 息 。 7 ） 遵 循 的 调 查 规 程 、 使 用 的 工 具 、 屏 幕 截 图 等 。 8 ） 采 取 的 调 查 行 动 。 9 ） 日 志 分 析 过 程 中 接 触 的 人 。 1 0 ） 在 分 析 过 程 中 确 定 的 影 响 1 1 ） 行 动 和 缓 解 措 施 的 建 议 5 .   P C I 依 从 性 证 据 包 依 从 性 证 据 包 确 立 P C I   D S S 日 志 记 录 需 求 的 3 个 关 键 部 分 ： · 日 志 记 录 的 存 在 和 充 足 性 · 日 志 审 核 · 异 常 处 理 可 以 在 评 估 之 前 准 备 证 据 包 ， 但 是 以 持 续 的 方 式 维 护 它 要 容 易 很 多 。 例 如 ， 保 留 如 下 内 容 的 纸 质 或 者 电 子 拷 贝 ： 1 ） 覆 盖 所 有 P C I   D S S 范 围 内 系 统 的 日 志 记 录 策 略 。 2 ） 日 志 记 录 和 日 志 审 核 规 程 。 3 ） 日 志 源 列 表 — — 来 自 范 围 内 环 境 的 所 有 系 统 及 其 组 件 （ 应 用 程 序 ） 。 4 ） 表 明 日 志 记 录 根 据 策 略 配 置 的 配 置 文 件 样 本 （ 例 如 U n i x 的 / e t c / s y s l o g . c o n f ， W i n d o w s 审 计 策 略 屏 幕 截 图 等 ） 。 5 ） 来 自 范 围 内 的 系 统 ， 说 明 日 志 按 照 策 略 生 成 并 满 足 P C I   D S S 日 志 记 录 需 求 的 日 志 样 本 。 6 ） 从 日 志 管 理 工 具 导 出 或 者 打 印 、 说 明 日 志 审 核 进 行 的 报 告 。 7 ） 上 面 定 义 的 最 新 的 日 志 薄 。 这 样 就 能 始 终 确 定 依 从 性 状 态 ， 提 供 持 续 的 依 从 性 。 6 .   管 理 报 告 管 理 报 告 除 了 依 从 性 证 据 之 外 ， 可 以 利 用 验 证 活 动 向 高 管 报 告 日 志 管 理 计 划 、 过 程 和 规 程 的 成 功 。 P C I 依 从 性 证 据 包 的 积 累   作 为 P C I   D S S 依 从 性 的 数 据 也 可 以 用 于 管 理 报 告 。 具 体 地 说 ， 可 以 生 成 如 下 报 告 ： · 日 志 记 录 的 存 在 和 充 实 性 ： · 这 一 部 分 没 有 实 用 的 管 理 报 告 。 · 日 志 审 核 过 程 的 存 在 及 其 实 施 ： · 日 志 策 略 和 规 程 变 更 。 · 处 于 日 志 审 核 之 中 的 应 用 程 序 。 · 审 核 的 日 志 条 目 · 异 常 处 理 过 程 及 其 实 施 ： · 按 照 分 类 、 分 析 人 员 姓 名 等 列 出 的 已 处 理 日 志 异 常 。 · 升 级 到 事 故 响 应 的 异 常 。 · 由 于 及 时 升 级 或 者 事 故 预 防 而 降 低 的 风 险 。 · 由 于 及 时 升 级 或 者 事 故 预 防 而 节 约 的 资 源 。 · 由 于 日 志 审 核 带 来 的 应 用 程 序 性 能 改 进 。 · 其 他 日 志 管 理 计 划 报 告 ： · 总 体 依 从 性 准 备 。 最 后 ， 我 们 来 总 结 组 织 应 该 执 行 的 ， 与 日 志 审 核 相 关 的 所 有 运 营 任 务 。 7 .   定 期 运 营 任 务 定 期 运 营 任 务 下 面 包 含 于 日 志 记 录 和 日 志 审 核 相 关 的 运 营 任 务 。   7 . 1   每 日 任 务 下 表 包 含 每 日 任 务 ， 负 责 执 行 它 们 的 角 色 ， 以 及 它 们 的 执 行 中 创 建 的 记 录 或 者 证 据 。 每 日 任 务 任 务 责 任 方 证 据 按 照 每 日 日 志 审 核 规 程 的 描 述 ， 审 核 前 一 天 生 成 的 各 类 日 志 安 全 管 理 员 、 安 全 分 析 人 员 （ 经 过 授 权 的 ） 应 用 程 序 管 理 员 日 志 管 理 工 具 上 运 行 的 报 告 记 录 按 照 调 查 规 程 中 的 说 明 ， 调 查 异 常 日 志 条 目 安 全 管 理 员 、 安 全 分 析 人 员 （ 经 过 授 权 的 ） 应 用 程 序 管 理 员 调 查 事 件 所 记 录 的 日 志 薄 条 目 采 取 必 要 的 行 动 缓 解 、 补 救 或 者 协 调 调 查 的 结 果 安 全 管 理 员 、 安 全 分 析 人 员 （ 经 过 授 权 的 ） 应 用 程 序 管 理 员 、 其 他 各 方 调 查 事 件 和 采 取 的 行 动 所 记 录 的 日 志 薄 条 目 验 证 所 有 范 围 内 的 应 用 程 序 都 进 行 日 志 记 录 应 用 程 序 管 理 员 创 建 一 个 数 据 表 记 录 这 些 活 动 ， 供 以 后 评 估 如 果 日 志 记 录 被 禁 用 或 者 停 止 ， 则 启 用 之 应 用 程 序 管 理 员 创 建 一 个 数 据 表 记 录 这 些 活 动 ， 供 以 后 评 估
  7 . 2   每 周 任 务 包 含 每 周 任 务 、 负 责 执 行 它 们 的 角 色 ， 以 及 它 们 的 执 行 中 创 建 的 记 录 或 者 证 据 。 每 周 任 务 任 务 责 任 方 证 据 按 照 每 天 日 志 审 核 规 程 的 描 述 ， 审 核 前 一 天 非 关 键 应 用 程 序 生 成 的 各 类 日 志 ， 按 照 调 查 规 程 中 的 说 明 ， 调 查 异 常 日 志 条 目 安 全 管 理 员 、 安 全 分 析 人 员 （ 经 过 授 权 的 ） 应 用 程 序 管 理 员 日 志 管 理 工 具 上 运 行 的 报 告 记 录 Q S A 批 准 较 低 频 率 日 志 审 核 的 记 录 ， 以 及 批 准 的 理 由 按 照 调 查 规 程 中 的 说 明 ， 调 查 异 常 日 志 条 目 安 全 管 理 员 、 安 全 分 析 人 员 （ 经 过 授 权 的 ） 应 用 程 序 管 理 员 调 查 事 件 所 记 录 的 日 志 薄 条 目 采 取 必 要 的 行 动 缓 解 、 补 救 或 者 协 调 调 查 的 结 果 安 全 管 理 员 、 安 全 分 析 人 员 （ 经 过 授 权 的 ） 应 用 程 序 管 理 员 、 其 他 各 方 调 查 事 件 和 采 取 的 行 动 所 记 录 的 日 志 薄 条 目   7 . 3   每 月 任 务 包 含 每 月 任 务 、 负 责 执 行 它 们 的 角 色 ， 以 及 它 们 的 执 行 中 创 建 的 记 录 或 者 证 据 。 每 周 任 务 任 务 责 任 方 证 据 准 备 关 于 所 调 查 的 日 志 条 目 的 报 告 安 全 分 析 人 员 、 安 全 经 理 准 备 好 的 报 告 （ 存 档 ） 有 关 观 察 到 的 消 息 类 型 的 报 告 安 全 分 析 人 员 、 安 全 经 理 准 备 好 的 报 告 （ 存 档 ） 有 关 观 察 到 的 新 消 息 类 型 的 报 告 安 全 分 析 人 员 、 安 全 经 理 准 备 好 的 报 告 （ 存 档 ） 按 照 每 天 日 志 审 核 规 程 的 描 述 ， 审 核 前 一 天 非 关 键 应 用 程 序 生 成 的 各 类 日 志 ， 按 照 调 查 规 程 中 的 说 明 ， 调 查 异 常 日 志 条 目 安 全 管 理 员 、 安 全 分 析 人 员 （ 经 过 授 权 的 ） 应 用 程 序 管 理 员 日 志 管 理 工 具 上 运 行 的 报 告 记 录 Q S A 批 准 较 低 频 率 日 志 审 核 的 记 录 ， 以 及 批 准 的 理 由 按 照 调 查 规 程 中 的 说 明 ， 调 查 异 常 日 志 条 目 安 全 管 理 员 、 安 全 分 析 人 员 （ 经 过 授 权 的 ） 应 用 程 序 管 理 员 调 查 事 件 所 记 录 的 日 志 薄 条 目 采 取 必 要 的 行 动 缓 解 、 补 救 或 者 协 调 调 查 的 结 果 安 全 管 理 员 、 安 全 分 析 人 员 （ 经 过 授 权 的 ） 应 用 程 序 管 理 员 、 其 他 各 方 调 查 事 件 和 采 取 的 行 动 所 记 录 的 日 志 薄 条 目   7 . 4   季 度 任 务 包 含 了 季 度 任 务 、 负 责 执 行 它 们 的 角 色 ， 以 及 它 们 的 执 行 中 创 建 的 记 录 或 者 证 据 。 每 周 任 务 任 务 责 任 方 证 据 验 证 所 有 P C I 范 围 内 的 系 统 都 记 录 日 志 ， 且 审 核 了 日 志 安 全 分 析 人 员 、 安 全 经 理 审 核 每 日 日 志 审 核 规 程 安 全 分 析 人 员 、 安 全 经 理 审 核 日 志 调 查 规 程 安 全 分 析 人 员 、 安 全 经 理 审 核 收 集 的 依 从 性 证 据 安 全 分 析 人 员 、 安 全 经 理 审 核 依 从 性 证 据 收 集 规 程 安 全 分 析 人 员 、 安 全 经 理   7 . 5   年 度 任 务 包 含 年 度 任 务 、 负 责 执 行 它 们 的 角 色 ， 以 及 它 们 的 执 行 中 创 建 的 记 录 或 者 证 据 。 每 周 任 务 任 务 责 任 方 证 据 审 核 日 志 记 录 和 日 志 审 核 策 略 C S O 在 Q S A 评 估 之 前 审 核 依 从 性 证 据 对 异 常 进 行 现 场 调 查 按 照 需 求   日 志 审 核 是 进 入 调 查 过 程 的 起 点 ， 而 且 能 够 为 你 进 行 满 足 企 业 自 身 、 监 管 或 者 其 他 强 制 要 求 的 活 动 提 供 保 证 ， 关 键 点 可 以 总 结 为 ： 1 ） 确 保 你 从 所 有 关 键 系 统 中 捕 捉 日 志 数 据 。 如 果 没 有 收 集 到 任 何 内 容 ， 就 无 法 执 行 日 志 审 核 和 响 应 。 2 ） 开 发 一 个 日 志 记 录 策 略 ， 描 述 收 集 和 聚 合 日 志 之 后 保 存 日 志 数 据 （ 保 存 ） 的 时 长 。 3 ） 在 日 志 审 核 过 程 中 ， 建 立 常 见 模 式 的 基 线 。 这 一 过 程 可 以 人 工 或 者 使 用 自 动 化 工 具 完 成 ， 还 要 理 解 如 何 找 出 已 知 错 误 消 息 。 4 ） 根 据 环 境 组 件 建 立 一 个 升 级 策 略 。 这 取 决 于 你 的 组 织 结 构 和 职 责 部 门 。 往 期 精 彩 文 章 ： 往 期 精 彩 文 章 ： 造 假 露 馅 ！ 曾 创 下 融 资 纪 录 的 科 技 公 司 ， 被 曝 用 印 度 码 农 冒 充 造 假 露 馅 ！ 曾 创 下 融 资 纪 录 的 科 技 公 司 ， 被 曝 用 印 度 码 农 冒 充 A I ， 挣 了 ， 挣 了 1 个 多 亿 个 多 亿 【 资 讯 】 程 序 猿 的 愤 怒 ？ 有 史 以 来 【 资 讯 】 程 序 猿 的 愤 怒 ？ 有 史 以 来   G i t H u b   S t a r   数 上 涨 最 快 的 一 个 项 目 诞 生 数 上 涨 最 快 的 一 个 项 目 诞 生 【 干 货 】 日 志 管 理 与 分 析 （ 一 ） 【 干 货 】 日 志 管 理 与 分 析 （ 一 ） — — 日 志 收 集 及 来 源 日 志 收 集 及 来 源 【 赠 书 】 渗 透 实 战 指 南 【 赠 书 】 渗 透 实 战 指 南 — — 《 《 s q l m a p 从 入 门 到 精 通 》 从 入 门 到 精 通 》
G i t H u b 回 应 突 然 断 供 ： 回 应 突 然 断 供 ： 身 在 美 国 不 由 己 ， 无 权 提 前 通 知 预 警 身 在 美 国 不 由 己 ， 无 权 提 前 通 知 预 警 2 0 1 9 年 上 半 年 年 上 半 年 W e b 应 用 安 全 报 告 应 用 安 全 报 告 网 络 安 全 学 习 方 法 论 之 体 系 的 重 要 性 网 络 安 全 学 习 方 法 论 之 体 系 的 重 要 性 【 热 点 】 安 全 群 炸 了 ！ 【 热 点 】 安 全 群 炸 了 ！ ！ ！ ！ ！ 《 亲 爱 的 ， 热 爱 的 》 竟 用 三 行 代 码 搞 定 服 务 器 攻 击 《 亲 爱 的 ， 热 爱 的 》 竟 用 三 行 代 码 搞 定 服 务 器 攻 击 别 不 信 ， 垃 圾 分 类 ， 正 在 曝 光 你 的 隐 私 别 不 信 ， 垃 圾 分 类 ， 正 在 曝 光 你 的 隐 私 关 注 脉 搏 ， 有 更 多 安 全 资 讯 及 技 术 文 章 在 等 你 ！ 关 注 脉 搏 ， 有 更 多 安 全 资 讯 及 技 术 文 章 在 等 你 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理