搜索

[20968] 2020-04-18_日志管理与分析（二）–日志分析与报告

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-04-18_日志管理与分析（二）–日志分析与报告 日 志 管 理 与 分 析 （ 二 ） – 日 志 分 析 与 报 告 L e m o n S e c   2 0 2 0 - 0 4 - 1 8 首 发 安 全 脉 搏 ： h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 1 0 4 2 3 . h t m l 接 《 日 志 管 理 与 分 析 （ 一 ） - - 日 志 收 集 及 来 源 》 最 后 部 分 简 单 日 志 分 析 ， 人 工 审 核 的 局 限 性 ， 人 工 日 志 审 核 无 法 随 着 日 志 文 件 尺 寸 的 增 大 而 伸 缩 ， 面 对 大 量 日 志 的 产 生 ， 人 工 审 核 明 显 大 大 降 低 了 效 率 ， 所 以 衍 生 出 了 很 多 开 源 以 及 商 业 化 的 日 志 分 析 工 具 。 日 志 分 析 和 收 集 工 具 日 志 分 析 和 收 集 工 具 1 . 1 日 志 分 析 工 具 日 志 分 析 工 具 上 面 提 到 ， l i n u x 本 身 内 建 一 些 日 志 分 析 工 具 ， 如 g e r p 、 a w k 、 t a i l 。 以 及 w i n d o w s 带 的 日 志 记 录 功 能 。 随 着 日 志 尺 寸 的 增 长 和 环 境 的 发 展 ， 这 些 工 具 可 能 只 适 合 于 取 证 。 企 业 中 集 中 日 志 记 录 信 息 ， 使 你 能 够 关 联 整 个 环 境 中 的 日 志 ， 从 而 方 便 实 现 P C I   D S S 、 H I P A A 和 S O X 等 收 集 与 分 析 依 从 性 需 求 。 有 些 免 费 的 工 具 可 以 帮 助 你 在 环 境 中 集 中 日 志 记 录 信 息 。 1 . 2 用 户 集 中 化 日 志 分 析 的 实 用 工 具 用 户 集 中 化 日 志 分 析 的 实 用 工 具 S y s l o g ： s y s l o g 是 目 前 最 为 普 遍 的 跨 平 台 日 志 记 录 解 决 方 案 。 上 面 已 经 提 到 ， 不 在 叙 述 。 R s y s l o g ： R s y s l o g 是 另 一 种 开 源 选 择 ， 在 许 多 l i n u x 发 布 版 本 中 可 以 免 费 使 用 。 R s y s l o g 是 R e d h a t 和 F e d o r a   L i n u x 系 统 的 默 认 日 志 记 录 器 ， 对 于 安 装 了 大 量 R e d h a t 的 企 业 是 更 为 自 然 的 选 择 。 R s y s l o g 增 加 了 对 H a d o o p 的 支 持 。 为 了 增 强 日 志 挖 掘 的 安 全 能 力 而 迁 移 到 H a d o o p 的 企 业 能 够 用 到 这 一 功 能 集 成 R s y s l o g 。 S n a r e ： w i n d o w s 系 统 在 w i n d o w s 事 件 日 志 中 记 录 大 量 有 价 值 的 信 息 ， 遗 憾 的 是 ， 事 件 日 志 是 w i n d o w s 专 利 技 术 ， 对 s y s l o g 风 格 的 消 息 没 有 原 生 支 持 。 S y s l o g - n g 和 r s y s l o g 有 付 费 的 选 项 ， 可 以 从 w i n d o w s 系 统 读 取 事 件 日 志 信 息 。 但 是 S n a r e 是 另 一 个 免 费 的 替 代 方 案 。 要 采 用 S n a r e   W i n d o w s 代 理 通 过 s y s l o g 发 送 事 件 日 志 ， 你 必 须 在 代 理 安 装 后 进 行 一 些 小 的 调 整 。 安 装 之 后 ， 进 行 网 络 配 置 ， 并 进 行 如 下 修 改 ： 将 目 标 端 口 设 置 为 默 认 的 s y s l o g 端 口 5 1 4 。 启 用 s y s l o g 报 头 。 1 . 3 日 志 分 析 专 业 工 具 日 志 分 析 专 业 工 具 前 面 提 到 的 日 志 分 析 的 基 本 工 具 ， 下 面 介 绍 的 某 些 工 具 允 许 你 实 时 生 成 事 件 报 警 ， 生 成 帮 助 你 实 现 依 从 性 的 摘 要 报 告 。 1 . 3 . 1   O S S E C
O S S E C 是 一 款 开 源 的 多 平 台 的 入 侵 检 测 系 统 ， 可 以 运 行 于 W i n d o w s , L i n u x ,   O p e n B S D / F r e e B S D ,   以 及   M a c O S 等 操 作 系 统 中 。 包 括 了 日 志 分 析 ， 全 面 检 测 ， r o o t - k i t 检 测 。 作 为 一 款 H I D S ， O S S E C 应 该 被 安 装 在 一 台 实 施 监 控 的 系 统 中 。 另 外 有 时 候 不 需 要 安 装 完 全 版 本 的 O S S E C ， 如 果 有 多 台 电 脑 都 安 装 了 O S S E C ， 那 么 就 可 以 采 用 客 户 端 / 服 务 器 模 式 来 运 行 。 客 户 机 通 过 客 户 端 程 序 将 数 据 发 回 到 服 务 器 端 进 行 分 析 。 1 . 3 . 2   O S S I M O S S I M 即 开 源 安 全 信 息 管 理 系 统 ( O P E N   S O U R C E S E C U R I T Y   I N F O R M A T I O N   M A N A G E M E N T ) ， 是 一 个 非 常 流 行 和 完 整 的 开 源 安 全 架 构 体 系 。 O S S I M 通 过 将 开 源 产 品 进 行 集 成 ， 从 而 提 供 一 种 能 够 实 现 安 全 监 控 功 能 的 基 础 平 台 。 它 的 目 的 是 提 供 一 种 集 中 式 、 有 企 业 的 、 能 够 更 好 地 进 行 监 测 和 显 示 的 框 架 式 系 统 。 笔 者 之 前 曾 基 于 O S S I M 写 过 两 篇 操 作 技 术 文 章 ， 可 作 为 参 考 ： O S S I M 操 作 实 践 : h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 6 7 3 5 0 . h t m l O S S I M 分 布 式 安 装 实 践 : h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 6 7 5 1 4 . h t m l 1 . 3 . 3   其 他 值 得 考 虑 的 分 析 工 具 l o g s t a s h L o g S t a s h 由 J R u b y 语 言 编 写 ， 基 于 消 息 （ m e s s a g e - b a s e d ） 的 简 单 架 构 ， 并 运 行 在 J a v a 虚 拟 机 （ J V M ） 上 。 不 同 于 分 离 的 代 理 端 （ a g e n t ） 或 主 机 端 （ s e r v e r ） ， L o g S t a s h 可 配 置 单 一 的 代 理 端 （ a g e n t ） 与 其 它 开 源 软 件 结 合 ， 以 实 现 不 同 的 功 能 。 说 到 搜 索 ， l o g s t a s h 带 有 一 个 w e b 界 面 ， 搜 索 和 展 示 所 有 日 志 。     L o g s u r f e r L o g s u r f e r 是 一 个 实 时 监 控 系 统 l o g 的 进 程 ， 并 且 会 在 发 生 事 件 的 时 候 按 照 配 置 文 件 中 的 相 关 配 置 上 报 消 息 或 者 执 行 操 作 。 它 跟 我 们 熟 知 的 S w a t c h 相 似 ， 并 且 是 基 于 S w a t c h 的 ， 但 是 它 也 提 供 了 一 系 列 s w a t c h 不 支 持 的 更 高 级 的 功 能 。 L o g s u r f e r 能 够 将 相 关 的 l o g 分 类 管 理 - - 比 如 当 一 个 系 统 自 启 动 的 时 候 会 创 建 很 多 的 l o g m e s s a g e s 。 在 这 种 情 况 下 ， l o g s u r f e r 可 以 将 这 些 启 动 时 候 的 m e s s a g e s 放 到 一 个 分 组 里 ， 并 且 将 这 些 消 息 通 过 一 个 独 立 的 E m a i l 消 息 发 送 给 系 统 管 理 员 管 理 的 项
目 名 为 “ 主 机 x x 已 经 重 启 “ 的 分 组 。 S w a t c h 则 不 能 完 成 这 个 需 求 。 L o g s u r f e r 是 用 C 语 言 写 的 ， 这 使 得 它 非 常 的 效 率 ， 一 个 重 要 的 原 因 是 是 现 场 会 产 生 大 量 的 l o g   t r a f f i c 。 我 曾 经 使 用 l o g s u r f e r 在 一 个 l o g 服 务 器 每 天 记 录 超 过 5 0 W 条 记 录 ， l o g s u r f e r 可 以 一 直 保 持 这 个 l o a d 运 行 ， 且 没 有 任 何 问 题 。 S w a c t h ， 在 其 他 的 方 面 ， 是 基 于 p e r l 实 现 的 ， 而 且 即 使 是 很 小 的 l o g   t r a f f i c 也 可 能 存 在 问 题 。   f l u m e F l u m e 是 C l o u d e r a 提 供 的 一 个 高 可 用 的 ， 高 可 靠 的 ， 分 布 式 的 海 量 日 志 采 集 、 聚 合 和 传 输 的 系 统 ， F l u m e 支 持 在 日 志 系 统 中 定 制 各 类 数 据 发 送 方 ， 用 于 收 集 数 据 ； 同 时 ， F l u m e 提 供 对 数 据 进 行 简 单 处 理 ， 并 写 到 各 种 数 据 接 受 方 （ 可 定 制 ） 的 能 力 。 当 前 F l u m e 有 两 个 版 本 F l u m e   0 . 9 X 版 本 的 统 称 F l u m e - o g ， F l u m e 1 . X 版 本 的 统 称 F l u m e - n g 。 由 于 F l u m e - n g 经 过 重 大 重 构 ， 与 F l u m e - o g 有 很 大 不 同 ， 使 用 时 请 注 意 区 分 。 日 志 收 集 F l u m e 最 早 是 C l o u d e r a 提 供 的 日 志 收 集 系 统 ， 目 前 是 A p a c h e 下 的 一 个 孵 化 项 目 ， F l u m e 支 持 在 日 志 系 统 中 定 制 各 类 数 据 发 送 方 ， 用 于 收 集 数 据 。 数 据 处 理 F l u m e 提 供 对 数 据 进 行 简 单 处 理 ， 并 写 到 各 种 数 据 接 受 方 （ 可 定 制 ） 的 能 力   。 F l u m e 提 供 了 从 c o n s o l e （ 控 制 台 ） 、 R P C （ T h r i f t - R P C ） 、 t e x t （ 文 件 ） 、 t a i l （ U N I X   t a i l ） 、 s y s l o g （ s y s l o g 日 志 系 统 ） ， 支 持 T C P 和 U D P 等 2 种 模 式 ） ， e x e c （ 命 令 执 行 ） 等 数 据 源 上 收 集 数 据 的 能 力 。 针 对 实 时 数 据 分 析 ， 可 以 使 用 ： f l u m e - n g + K a f k a + S t o r m 1 . 4 商 业 化 日 志 工 具 商 业 化 日 志 工 具 安 全 业 界 领 先 企 业 有 许 多 杰 出 的 日 志 分 析 和 保 存 解 决 方 案 ， 涵 盖 了 从 可 以 自 行 购 买 运 行 的 解 决 方 案 到 允 许 你 将 日 常 日 志 管 理 外 包 给 第 三 方 提 供 商 的 日 志 管 理 服 务 的 范 围 。 1 . 4 . 1   S p l u n k S p l u n k 是 一 个 商 业 化 产 品 ， S p l u n k 允 许 你 收 集 日 志 ， 用 于 取 证 和 关 联 ， 也 能 根 据 需 要 进 一 步 调 查 或 者 采 取 行 动 的 事 件 类 型 ， 生 成 实 时 警 报 。 S p l u n k 与 众 不 同 的 地 方 是 它 支 持 广 泛 的 日 志 源 、 审 核 活 动 的 实 时 仪 表 盘 、 可 自 定 义 报 告 和 仪 表 盘 以 及 有 助 于 将 S p l u n k 集 成 到 安 全 基 础 设 施 的 供 应 商 支 持 A P I 。 1 . 4 . 2   N e t l Q   S e n t i n e l N e t l Q   S e n t i n e l 和 前 面 讨 论 的 O S S I M 类 似 ， 不 仅 是 日 志 管 理 和 分 析 产 品 ， 而 应 该 归 入 S I E M 的 类 别 。 S e n t i n e l 包 含 了 异 常 检 测 和 身 份 管 理 信 息 ， 作 为 处 理 事 故 响 应 和 事 件 取 证 的 额 外 来 源 。 N e t l Q   S e n t i n e l 的 企 业 版 可 以 为 企 业 提 供 完 整 的 安 全 信 息 管 理 工 具 。 1 . 4 . 3   I B M   q 1 L a b s Q R a d a r 是 来 自 I B M 的 日 志 管 理 解 决 方 案 。 Q R a d a r 有 广 泛 的 日 志 源 支 持 ， 以 及 广 泛 的 搜 索 和 报 告 功 能 。 Q R a d a r 与 众 不 同 的 特 点 之 一 是 它 可 以 为 许 多 当 前 依 从 性 框 架 对 报 告 进 行 调 整 ， 支 持 如 下 审 计 ： · 支 付 卡 行 业 数 据 安 全 标 准 · 北 美 店 里 可 靠 性 公 司 · 健 康 保 险 隐 私 及 责 任 法 案
· S a r b a n e s - O x l e y 和 联 邦 信 息 安 全 管 理 法 案 1 . 4 . 4   L o g g l y L o g g l y 是 一 个 云 日 志 提 供 商 ， 你 的 日 志 数 据 将 被 存 储 在 云 中 。 该 产 品 支 持 上 面 提 到 的 很 多 数 据 源 ， L o g g l y 的 关 键 特 征 是 为 保 存 日 志 ， 而 在 环 境 中 安 装 的 附 件 硬 件 有 限 ， 需 要 由 其 他 人 维 护 和 升 级 你 的 日 志 系 统 。 1 . 5 外 包 、 构 建 或 者 购 买 外 包 、 构 建 或 者 购 买 在 许 多 公 司 中 ， 安 全 和 日 志 管 理 不 是 核 心 竞 争 力 ， 是 从 事 业 务 所 需 的 成 本 而 非 收 入 来 源 ， 多 年 来 发 生 的 一 些 引 人 注 目 的 安 全 事 故 已 经 加 强 了 安 全 性 低 下 会 付 出 代 价 的 意 识 。 让 企 业 意 识 到 ， 如 果 不 选 择 正 确 的 系 统 ， 或 者 没 有 足 够 的 资 源 来 监 控 系 统 ， 可 能 会 付 出 很 高 昂 的 代 价 ， 也 可 能 造 成 业 务 损 失 。 日 志 管 理 和 日 志 分 析 系 统 应 该 接 受 和 环 境 中 任 何 关 键 I T 系 统 一 样 的 认 真 评 估 ， 才 能 做 出 购 买 、 构 建 或 者 外 包 的 决 策 。 在 许 多 情 况 下 ， 购 买 和 构 建 、 购 买 和 外 包 相 结 合 ， 可 能 比 提 供 单 一 方 法 更 能 够 满 足 企 业 的 需 求 。 1 . 5 . 1   构 建 一 个 解 决 方 案 由 于 开 源 日 志 管 理 解 决 方 案 的 存 在 ， 以 及 对 针 对 环 境 和 需 求 定 制 和 调 整 解 决 方 案 的 渴 望 ， 许 多 企 业 选 择 构 建 日 志 管 理 解 决 方 案 。 在 许 多 情 况 下 ， 这 种 方 法 使 企 业 可 以 从 现 有 的 资 源 和 有 限 的 成 本 开 始 。 与 此 相 关 ， 有 一 些 优 势 和 风 险 ： 优 势 ： 优 势 ： 你 能 得 到 适 用 于 环 境 的 一 个 系 统 和 解 决 方 案 。 你 可 以 完 成 商 业 化 或 者 开 源 解 决 方 案 中 无 法 找 到 的 功 能 ， 因 为 在 许 多 环 境 下 ， 你 可 以 修 改 和 更 新 系 统 的 代 码 。 你 可 以 选 择 和 设 计 系 统 的 平 台 、 工 具 和 过 程 。 获 取 系 统 的 先 期 成 本 有 限 风 险 ： 风 险 ： 你 拥 有 系 统 ， 必 须 为 系 统 维 护 和 持 续 满 足 依 从 性 标 准 的 任 何 更 新 分 配 资 源 和 事 件 。 没 有 第 三 方 支 持 ， 你 就 是 支 持 人 员 。 如 果 构 建 该 系 统 的 关 键 人 物 离 开 公 司 ， 你 能 够 雇 佣 、 保 留 和 训 练 员 工 继 续 维 持 该 系 统 吗 系 统 是 否 能 够 处 理 来 自 企 业 各 系 统 的 日 志 ， 是 否 能 够 随 着 企 业 的 成 长 而 扩 展 。 1 . 5 . 2 购 买 许 多 企 业 认 为 ， 构 建 日 志 管 理 系 统 过 于 费 时 ， 如 果 系 统 开 发 不 是 公 司 的 核 心 竞 争 力 ， 它 们 也 可 能 没 有 资 源 投 入 到 这 些 系 统 的 构 建 和 维 护 中 。 较 大 的 企 业 还 需 要 与 供 应 商 的 支 持 ， 以 保 证 正 常 运 行 时 间 和 法 律 需 求 。 基 于 开 源 产 品 自 行 开 发 的 解 决 方 案 通 常 无 法 满 足 支 持 和 法 律 需 求 。 下 面 是 购 买 日 志 管 理 系 统 所 应 该 考 虑 的 ： 优 势 ： 优 势 ： “ 付 现 自 运 ” — 付 款 之 后 ， 你 就 能 获 得 一 个 日 志 管 理 和 分 析 需 求 的 解 决 方 案 。 订 购 的 解 决 方 案 支 持 广 泛 的 日 志 来 源 和 格 式 。 支 持 协 议 通 常 包 含 正 常 运 行 时 间 和 问 题 响 应 时 间 的 服 务 协 议 。 产 品 更 新 和 改 进 ， 包 括 满 足 依 从 性 标 准 更 改 的 更 新 。 可 能 购 买 服 务 和 现 场 帮 助 ， 协 助 安 排 系 统 和 训 练 内 部 人 员 。 风 险 ： 风 险 ： 除 了 初 始 系 统 成 本 之 外 ， 你 现 在 将 得 到 一 个 系 统 ， 需 要 雇 佣 或 者 训 练 员 工 安 装 和 使 用 它 ， 你 的 企 业 应 该 考 虑 这 对 当 前 业 务 优 先 顺 序 的 影 响 ， 以 及 初 始 系 统 成 本 之 外 的 预 算 约 束 和 持 续 的 人 员 保 存 及 教 育 成 本 。
2 你 的 企 业 有 没 有 这 样 的 员 工 ， 具 备 学 习 、 使 用 和 最 大 限 度 发 挥 所 购 系 统 的 作 用 的 技 能 ？ 系 统 中 存 在 缺 口 ， 不 能 支 持 环 境 中 安 装 的 应 用 程 序 ， 或 者 与 依 从 性 需 求 相 关 的 过 程 。 供 应 商 成 熟 度 、 寿 命 和 企 业 在 未 来 更 换 供 应 商 的 风 险 。 1 . 5 . 3 外 包 许 多 企 业 发 展 ， 在 自 身 没 有 能 力 或 者 资 源 构 建 或 者 运 营 / 维 护 所 购 买 的 解 决 方 案 时 ， 外 包 是 更 好 的 替 代 方 案 。 外 包 使 得 企 业 能 够 满 足 环 境 中 运 营 的 系 统 的 正 常 运 行 时 间 、 支 持 和 法 律 需 求 。 下 面 是 外 包 需 要 考 虑 的 问 题 ： 优 势 ： 由 别 人 去 负 责 企 业 内 的 日 志 管 理 日 常 任 务 和 依 从 性 需 求 。 这 解 放 了 你 的 资 源 ， 以 便 于 专 注 于 其 他 核 心 业 务 。 外 包 限 制 了 基 础 设 施 占 用 ， 外 包 供 应 商 托 管 企 业 中 安 装 的 基 础 设 施 。 投 入 日 志 管 理 和 审 核 日 志 日 常 活 动 及 其 他 依 从 性 需 求 的 人 员 较 少 。 风 险 由 别 人 去 负 责 你 的 问 题 ， 他 们 可 能 没 有 适 合 你 的 环 境 或 者 依 从 性 需 求 的 背 景 。 系 统 可 能 有 缺 口 ， 不 能 支 持 环 境 中 安 装 的 应 用 程 序 ， 或 者 与 依 从 性 需 求 相 关 的 过 程 。 企 业 失 去 了 对 其 数 据 的 控 制 ， 如 果 托 管 在 企 业 外 部 ， 就 会 存 在 丢 失 数 据 的 风 险 ， 在 未 来 难 以 切 换 日 志 管 理 提 供 商 。 企 业 的 数 据 量 可 能 给 供 给 商 带 来 挑 战 ， 在 向 企 业 外 传 输 数 据 时 ， 可 能 影 响 你 的 系 统 S L A 。 访 问 日 志 数 据 可 能 受 限 于 供 应 商 提 供 的 A P I 和 在 线 数 据 保 存 时 间 。 1 . 5 . 4 需 要 思 考 的 问 题 研 究 工 具 和 解 决 方 案 时 ， 考 虑 如 下 问 题 。 1 ） 你 是 否 收 集 和 聚 合 了 来 自 网 络 上 所 有 数 据 源 的 全 部 日 志 数 据 ？ 2 ） 日 志 是 否 安 全 地 传 输 和 保 存 。 3 ） 打 包 的 报 告 是 否 适 合 你 的 需 求 ？ 你 能 够 创 建 必 要 的 报 告 ， 快 速 组 织 收 集 的 日 志 数 据 吗 ？ 4 ） 你 能 在 日 志 的 任 何 内 容 上 设 置 报 警 吗 ？ 5 ） 你 是 否 每 天 查 看 日 志 数 据 ， 系 统 是 否 有 能 力 聚 合 情 报 或 者 减 少 这 些 活 动 耗 费 的 时 间 ？ 你 是 否 能 证 明 自 己 有 执 行 这 项 功 能 的 工 具 ， 可 以 报 告 谁 在 何 时 审 核 了 日 志 ？ 6 ） 你 是 否 能 够 对 特 定 的 数 据 执 行 快 读 、 针 对 性 的 搜 索 ？ 7 ） 你 能 够 建 立 日 志 数 据 上 下 文 ， 并 在 组 织 范 围 内 进 行 关 联 ， 用 于 取 证 和 其 他 运 营 任 务 吗 ？ 8 ） 你 是 否 能 够 轻 松 地 证 明 安 全 、 变 更 管 理 和 访 问 控 制 策 略 正 在 使 用 中 且 保 持 更 新 ？ 9 ） 你 是 否 能 安 全 地 与 其 他 应 用 程 序 及 用 户 共 享 日 志 数 据 ？   报 告 和 总 结 报 告 和 总 结 任 何 查 看 日 志 数 据 的 人 都 知 道 ， 只 查 看 原 始 日 志 没 有 什 么 作 用 。 但 是 ， 大 部 分 日 志 分 析 最 终 都 涉 及 查 看 一 定 时 期 内 特 定 系 统 集 的 日 志 数 据 总 结 — 报 告 。 我 们 分 析 的 数 据 越 多 ， 就 必 须 进 行 越 多 的 总 结 和 聚 合 。 确 实 ， 总 结 和 报 告 是 日 志 分 析 的 支 柱 ： 根 据 日 志 生 成 的 按 国 家 排 列 的 主 要 攻 击 、 身 份 认 证 失 败 最 多 的 用 户 和 其 他 报 告 ， 是 大 部 分 人 考 虑 日 志 分 析 时 最 常 想 到 的 。 商 业 化 的 日 志 分 析 和 S I E M 工 具 也 更 多 地 查 看 报 告 而 非 原 始 日 志 数 据 。
总 结 很 有 效 ， 并 减 少 了 你 需 要 查 看 的 数 据 量 ， 但 是 在 总 结 中 我 们 杀 死 了 数 据 ， 这 有 可 能 丢 失 有 用 的 信 息 ； 此 外 ， 数 据 可 能 因 为 我 们 选 用 的 总 结 类 型 而 被 丢 失 ， 例 如 ， 如 果 你 关 注 1 0 大 用 户 ， 不 要 忘 记 排 名 倒 数 前 1 0 的 用 户 可 能 也 很 有 趣 。 2 . 1   定 义 最 佳 报 告 定 义 最 佳 报 告 报 告 在 日 志 分 析 中 用 途 广 泛 ， 因 此 报 告 的 可 能 种 类 很 多 。 最 重 要 的 报 告 类 别 如 下 ： 1 ）     身 份 认 证 和 授 权 报 告 。 2 ）     系 统 和 数 据 变 更 报 告 。 3 ）     网 络 活 动 报 告 。 4 ）     资 源 访 问 报 告 。 5 ）     恶 意 软 件 活 动 报 告 。 6 ）     故 障 和 关 键 错 误 报 告 。 2 . 2   身 份 认 证 和 授 权 报 告 身 份 认 证 和 授 权 报 告 这 些 报 告 识 别 以 各 种 不 同 权 限 级 别 （ 身 份 认 证 ） 访 问 各 个 系 统 的 企 图 （ 无 论 是 成 功 还 是 失 败 ） ， 以 及 特 定 权 限 用 户 的 活 动 ， 以 及 使 用 特 权 功 能 （ 授 权 ） 的 企 图 。 重 要 性 身 份 认 证 是 控 制 现 代 系 统 访 问 权 限 的 主 要 关 卡 和 手 段 。 从 简 单 的 密 码 到 令 牌 以 及 加 密 机 制 ， 审 核 整 个 企 业 的 身 份 认 证 活 动 是 关 键 的 安 全 性 活 动 之 一 。 具 体 报 告 这 个 类 别 的 关 键 报 告 有 ： 按 照 用 户 、 系 统 、 业 务 单 位 列 出 的 所 有 失 败 和 成 功 登 录 ： 这 可 能 是 一 个 或 者 多 个 显 示 不 同 系 统 、 访 问 方 法 （ 本 地 或 远 程 ） 和 用 户 的 成 功 及 失 败 登 录 的 报 告 。 这 种 报 告 的 价 值 在 于 ， 它 要 求 你 不 能 仅 仅 记 录 成 功 或 者 失 败 的 登 录 ， 而 是 对 两 者 都 有 记 录 。 禁 用 / 服 务 / 不 存 在 / 默 认 / 挂 起 账 户 的 登 录 企 图 （ 成 功 ， 失 败 ） ： 这 种 报 告 覆 盖 对 不 应 该 访 问 的 账 户 和 服 务 的 访 问 企 图 。 不 管 失 败 还 是 成 功 ， 对 安 全 专 业 人 士 来 说 都 是 有 趣 的 。 下 班 时 间 / “ 休 息 ” 时 间 的 所 有 登 陆 ： 和 上 面 的 报 告 类 似 ， 这 种 活 动 通 常 在 访 问 成 功 时 特 别 令 人 感 兴 趣 。 但 是 ， 对 这 种 事 件 必 须 加 以 调 查 ， 尤 其 是 在 系 统 管 理 员 全 天 候 工 作 的 环 境 中 。 用 户 在 试 图 登 陆 的 不 同 系 统 中 身 份 认 证 失 败 的 计 数 ： 这 种 聚 合 报 告 检 测 账 户 扫 描 ， 在 这 种 扫 描 中 ， 单 一 机 器 检 查 许 多 系 统 上 的 同 一 个 账 户 或 者 不 同 账 户 ， 和 老 式 “ 主 机 扫 描 ” 有 些 类 似 。 V P N 身 份 认 证 和 其 他 远 程 访 问 登 陆 （ 成 功 ， 失 败 ） ： 所 有 登 陆 企 图 在 合 适 的 场 合 下 都 是 令 人 感 兴 趣 的 ， 而 通 过 V P N 或 者 其 他 远 程 连 接 方 法 进 行 的 远 程 登 陆 尝 试 就 更 为 有 趣 ， 应 该 小 心 跟 踪 。 特 权 账 户 访 问 （ 成 功 ， 失 败 ） ： 根 用 户 或 者 管 理 员 登 陆 、 s u 命 令 的 使 用 、 R u n   A s 命 令 使 用 以 及 其 他 平 台 和 系 统 上 的 等 级 操 作 都 必 须 加 以 考 虑 ， 因 为 特 权 用 户 造 成 的 破 坏 一 般 比 常 规 用 户 严 重 很 多 。 多 次 登 陆 失 败 之 后 ， 同 一 个 账 户 登 陆 成 功 ： 这 种 报 告 需 要 基 于 规 则 （ S I E M 风 格 ） 的 关 联 来 生 成 ， 但 是 跟 踪 多 次 失 败 后 的 成 功 连 接 明 显 令 人 感 兴 趣 ， 因 为 它 几 乎 总 是 说 明 有 人 企 图 猜 测 登 陆 证 书 。 2 . 3   变 更 报 告 变 更 报 告 这 些 报 告 识 别 各 种 系 统 和 安 全 的 关 键 变 更 — 配 置 文 件 、 账 户 、 监 管 和 敏 感 数 据 以 及 系 统 或 者 应 用 程 序 的 其 他 组 件 。
重 要 性 重 要 性 对 信 息 系 统 的 未 授 权 变 更 导 致 许 多 代 价 沉 重 的 崩 溃 、 数 据 丢 失 和 安 全 事 故 。 除 此 之 外 ， 攻 击 者 往 往 修 改 你 的 系 统 ， 以 便 在 未 来 能 够 访 问 。 勤 勉 地 跟 踪 变 更 还 将 改 进 你 的 整 个 I T 运 营 状 况 。 具 体 报 告 具 体 报 告 这 个 类 别 的 关 键 报 告 有 ： 用 户 和 组 的 添 加 / 变 更 / 删 除 ： 攻 击 者 常 常 添 加 新 的 账 户 ， 然 后 在 访 问 之 后 删 除 。 这 些 活 动 应 该 在 授 权 方 式 下 进 行 。 管 理 员 / 特 权 组 中 账 户 的 添 加 ： 对 管 理 员 账 户 和 其 他 特 权 用 户 的 变 更 应 该 在 账 户 变 更 的 跟 踪 列 表 中 排 在 首 位 。 密 码 变 更 和 重 置 — 由 用 户 进 行 以 及 由 管 理 员 进 行 ： 密 码 变 更 通 常 和 新 账 户 的 创 建 一 样 重 要 。 这 些 操 作 可 以 由 用 户 进 行 ， 也 可 以 由 管 理 员 进 行 。 此 外 ， 这 种 报 告 可 以 用 于 确 定 授 权 的 密 码 变 更 是 否 按 照 策 略 的 安 排 进 行 。 网 络 服 务 的 添 加 / 变 更 / 删 除 ； 允 许 网 络 连 接 的 新 服 务 可 能 向 附 加 的 攻 击 开 放 你 的 网 络 ， 它 们 常 常 是 攻 击 者 进 行 的 。 对 系 统 文 件 （ 二 进 制 文 件 、 配 置 ） 的 变 更 ： 对 系 统 文 件 （ 如 二 进 制 文 件 和 配 置 文 件 ） 的 变 更 ， 不 管 是 偶 然 、 计 划 还 是 恶 意 的 ， 都 需 要 小 心 跟 踪 。 对 其 他 关 键 文 件 的 变 更 ： 除 了 二 进 制 可 执 行 文 件 和 配 置 文 件 之 外 ， 各 种 系 统 可 能 有 不 同 的 关 键 文 件 ， 对 这 些 文 件 的 访 问 也 要 跟 踪 。 文 件 访 问 权 限 的 变 更 ： 危 险 变 更 的 变 种 之 一 是 文 件 权 限 的 变 更 ； 如 果 没 有 考 虑 到 这 种 变 更 ， 它 们 可 能 造 成 敏 感 数 据 的 丢 失 。 对 敏 感 文 件 的 变 更 ： 或 者 对 敏 感 文 档 的 下 载 / 复 制 。 系 统 、 应 用 程 序 、 用 户 进 行 的 应 用 程 序 安 装 和 更 新 （ 成 功 、 失 败 ） ： 各 系 统 的 所 有 应 用 程 序 安 装 和 更 新 必 须 记 录 日 志 ， 至 少 ， 这 些 日 志 在 事 故 响 应 中 很 有 用 。 2 . 4   网 络 活 动 报 告 网 络 活 动 报 告 这 些 报 告 识 别 各 个 系 统 的 可 疑 和 有 潜 在 危 险 的 网 络 活 动 ， 以 及 需 要 为 常 见 法 规 跟 踪 的 活 动 。 重 要 性 重 要 性 网 络 是 信 息 资 产 威 胁 的 主 要 来 源 。 显 然 ， 网 络 也 是 从 现 代 组 织 中 窃 取 信 息 资 产 的 主 要 途 径 。 具 体 报 告 具 体 报 告 这 一 类 别 的 关 键 报 告 有 ： 按 照 系 统 、 连 接 数 量 、 用 户 、 宽 带 、 独 特 目 标 技 术 列 出 的 所 有 来 自 内 部 和 D M Z 系 统 的 出 站 连 接 ： 对 环 境 中 的 出 站 连 接 的 信 息 有 多 种 切 片 方 式 ， 但 是 主 要 的 精 华 都 一 样 ： 跟 踪 从 你 的 网 络 连 接 到 外 接 的 用 户 ， 是 检 测 入 侵 和 破 坏 以 及 恶 意 软 件 （ 还 有 滥 用 网 络 权 限 的 用 户 ） 的 方 法 。 在 下 班 时 间 内 部 和 D M Z 系 统 的 所 有 出 站 连 接 ： 使 用 防 火 墙 和 W e b 代 理 日 志 ， 人 们 可 以 得 到 上 述 报 告 更 有 针 对 性 的 版 本 ， 只 跟 踪 非 正 常 时 段 内 的 出 站 访 问 。 传 输 的 最 大 文 件 （ 入 站 、 出 站 ） 或 者 传 输 字 节 最 大 的 会 话 ： 这 两 种 报 告 都 使 组 织 能 够 跟 踪 露 骨 的 数 据 窃 取 和 宽 带 滥 用 。 向 外 部 网 站 上 传 w e b 文 件 ： 根 据 代 理 日 志 ， 人 们 可 以 跟 踪 被 上 传 到 外 部 网 站 的 文 件 ， 以 及 作 为 w e b 邮 件 附 件 的 文 件 。 按 照 内 容 类 别 （ e x e 、 d l l 、 s c r 、 u p x 等 ） 和 协 议 （ H T T P 、 I M 等 ） 分 类 的 所 有 文 件 下 载 ： 跟 踪 从 w e b 进 入 环 境 的 文 件 也 很 重 要 ， 可 以 通 过 跟 踪 不 同 协 议 和 方 法 的 文 件 来 完 成 。 使 用 许 多 不 同 协 议 / 端 口 的 内 部 系 统 ： 虽 然 没 有 可 靠 的 方 法 能 够 知 道 来 自 合 法 内 部 系 统 的 恶 意 软 件 活 动 ， 但 是 突 然 开 始 通 过 许 多 新 端 口 和 协 议 “ 交 流 ” 已 经 被 看 作 恶 意 活 动 的 一 个 征 兆 。 最 常 成 为 多 种 N I D S 、 N I P S 或 者 W A F 警 报 源 的 内 部 系 统 ： 最 有 用 的 报 告 之 一 是 跟 踪 生 成 许 多 不 同 类 型 的 警 报 ， 像 “ 圣 诞
树 ” 一 样 的 内 部 信 息 资 产 。 按 照 用 户 名 称 、 会 话 总 字 节 数 、 会 话 计 数 、 内 部 资 源 使 用 量 分 类 的 V P N 网 络 活 动 ： V P N 的 使 用 情 况 也 应 该 跟 踪 ， 以 便 找 出 V P N 访 问 和 流 量 中 的 异 常 状 况 。 内 部 系 统 使 用 P 2 P ： 虽 然 用 户 破 坏 A U P 可 能 是 这 一 工 作 的 重 点 ， 但 是 P 2 P 软 件 也 涉 及 意 外 和 恶 意 的 数 据 窃 取 和 丢 失 。 无 线 网 络 活 动 ： 无 线 网 络 设 备 能 够 记 录 许 多 不 同 的 事 件 ， 将 他 们 作 为 前 述 的 V P N 和 其 他 远 程 网 络 访 问 机 制 进 行 跟 踪 也 很 有 用 （ 包 括 用 户 名 和 w i n d o w s 名 ） ； 有 关 无 线 数 据 的 另 一 个 有 用 的 报 告 包 括 流 氓 A P 检 测 和 流 氓 A P 关 联 日 志 。 一 段 时 期 内 的 日 志 容 量 趋 势 ： 虽 然 这 严 格 上 不 能 算 是 网 络 活 动 报 告 ， 但 是 审 核 网 络 产 生 的 日 志 容 量 极 其 有 用 ， 它 可 以 作 为 日 志 数 据 的 整 体 指 标 。 2 . 5   资 源 访 问 报 告 资 源 访 问 报 告 这 些 报 告 识 别 整 个 组 织 各 种 系 统 、 应 用 程 序 和 数 据 库 资 源 的 访 问 模 式 ， 可 以 用 于 活 动 审 计 、 趋 势 分 析 和 事 故 检 测 。 重 要 性 重 要 性 资 源 访 问 的 跟 踪 可 以 用 于 揭 示 内 部 人 员 违 规 使 用 甚 至 欺 诈 。 它 们 在 事 故 响 应 期 间 很 有 价 值 ， 可 以 用 户 确 定 攻 击 者 访 问 和 可 能 破 坏 或 者 修 改 的 资 源 。 此 外 ， 资 源 访 问 可 以 用 于 安 全 意 外 的 目 的 ， 比 如 容 量 的 规 划 和 其 他 用 途 。 具 体 报 告 具 体 报 告 这 一 类 别 的 关 键 报 告 有 ： 下 班 时 间 访 问 关 键 系 统 上 的 资 源 ： 类 似 于 上 面 所 提 到 的 下 班 时 间 的 网 络 访 问 和 登 录 ， 这 种 报 告 可 以 用 于 跟 踪 在 不 寻 常 的 时 间 在 关 键 和 受 监 管 的 系 统 上 的 访 问 和 活 动 。 被 代 理 阻 止 访 问 禁 用 网 站 次 数 最 多 的 内 部 用 户 、 恶 意 来 源 等 ： 这 种 多 用 途 w e b 访 问 报 告 可 以 用 于 从 跟 踪 受 害 系 统 到 数 据 泄 露 跟 踪 以 及 改 进 生 产 力 等 多 种 目 的 。 文 件 ， 网 络 共 享 或 者 资 源 访 问 （ 成 功 、 失 败 ） ： 这 种 报 告 只 能 用 于 特 定 的 被 审 计 资 源 ； 启 用 文 件 访 问 日 志 （ w i n d o w s ） 和 系 统 调 用 日 志 （ u n i x ） 总 是 会 导 致 数 据 溢 出 。 数 据 库 主 要 用 户 ： 为 了 用 于 安 全 活 动 跟 踪 ， 这 种 报 告 必 须 排 除 已 知 的 应 用 程 序 对 数 据 库 的 访 问 ； 理 想 情 况 下 ， 用 户 或 者 开 发 人 员 不 能 直 接 访 问 生 产 数 据 库 。 查 询 类 型 摘 要 ： 同 样 ， 排 除 已 知 的 应 用 程 序 查 询 ， 能 够 将 这 种 报 告 转 化 为 异 常 检 测 工 具 ， 展 示 异 常 的 数 据 库 访 问 。 所 有 特 权 数 据 库 用 于 访 问 ： 和 服 务 器 及 应 用 程 序 一 样 ， 所 有 特 权 用 户 活 动 应 该 加 以 记 录 并 定 期 分 析 。 执 行 I n s e r t 、 D e l e t e 数 据 库 命 令 的 所 有 用 户 ： 除 了 跟 踪 应 用 程 序 和 用 户 访 问 之 外 ， 单 独 跟 踪 可 能 毁 坏 数 据 的 破 坏 性 命 令 也 很 有 意 义 ； 在 这 里 ， 排 除 已 知 应 用 程 序 的 查 询 是 使 用 的 方 法 。 执 行 C r e a t e 、 G r a n t 命 令 ， 更 改 数 据 库 模 式 的 所 有 用 户 ： 除 了 跟 踪 应 用 程 序 和 用 户 访 问 之 外 ， 单 独 跟 踪 可 能 毁 坏 数 据 和 更 改 数 据 库 实 例 本 身 的 破 坏 性 命 令 也 很 有 意 义 。 数 据 库 备 份 摘 要 ： 备 份 为 从 数 据 库 提 取 大 量 数 据 从 而 实 施 数 据 窃 取 提 供 了 一 种 情 绪 的 方 法 ： 这 种 报 告 使 你 能 够 审 核 旧 数 据 库 的 备 份 ， 捕 获 未 经 授 权 进 行 备 份 的 人 。 向 外 发 送 附 件 最 多 的 内 部 电 子 邮 件 地 址 ： 在 许 多 电 子 邮 件 访 问 报 告 中 ， 这 种 报 告 引 人 注 目 ， 它 对 于 检 测 和 调 查 内 部 人 员 的 违 规 使 用 和 数 据 窃 取 起 到 关 键 的 作 用 。 所 有 电 子 邮 件 附 件 内 容 的 类 型 、 大 小 和 名 称 ： 类 似 于 上 一 种 报 告 ， 这 种 报 告 可 用 于 跟 踪 信 息 信 息 ， 检 测 用 户 通 过 邮 件 发 送 敏 感 信 息 。 所 有 发 送 电 子 邮 件 的 内 部 系 统 （ 排 除 已 知 的 电 子 邮 件 服 务 器 ） ： 寻 找 环 境 中 被 垃 圾 邮 件 发 送 程 序 感 染 的 系 统 的 一 种 简 单 方 法 。
日 志 访 问 摘 要 ： 记 录 日 志 ， 然 后 审 核 对 日 志 的 访 问 是 法 规 的 规 定 ； 这 一 基 本 报 告 应 该 排 除 你 自 己 对 日 志 数 据 的 查 看 。 2 . 6   恶 意 软 件 活 动 报 告 恶 意 软 件 活 动 报 告 这 些 报 告 总 结 各 种 恶 意 软 件 活 动 与 恶 意 软 件 可 能 相 关 的 事 件 。 重 要 性 重 要 性 各 种 形 式 的 恶 意 软 件 仍 然 是 当 今 大 型 和 小 型 企 业 所 面 临 的 主 要 威 胁 ， 虽 然 防 病 毒 工 具 近 年 来 已 经 加 入 了 阻 止 恶 意 软 件 的 功 能 ， 但 是 仍 然 必 须 使 用 其 他 信 息 来 源 （ 如 日 志 ） 抵 御 恶 意 软 件 。 具 体 报 告 具 体 报 告 这 个 类 别 的 关 键 报 告 有 ： 恶 意 软 件 检 测 趋 势 及 结 果 ： 恶 意 软 件 检 测 的 摘 要 或 者 趋 势 报 告 ， 还 展 示 系 统 和 结 果 （ 已 经 清 除 或 者 保 留 ） ， 这 是 一 个 好 的 起 点 。 来 自 防 病 毒 工 具 的 仅 检 测 事 件 ： 所 有 防 恶 意 软 件 工 具 记 录 检 测 到 恶 意 软 件 但 没 有 清 除 （ 原 因 各 异 ） 的 情 况 。 这 种 记 录 下 来 的 “ 保 留 ” 能 够 帮 助 许 多 组 织 避 免 大 规 模 的 破 坏 。 所 有 防 病 毒 保 护 故 障 ： 考 虑 到 当 今 的 恶 意 软 件 已 经 具 备 了 与 防 病 毒 工 具 周 旋 的 能 力 ， 所 有 的 死 机 、 检 测 引 擎 卸 载 、 更 新 失 败 等 都 必 须 记 入 日 志 并 进 行 审 核 。 指 向 已 知 恶 意 I P 地 址 的 内 部 连 接 ： 人 们 可 以 使 用 这 个 极 其 有 用 的 报 告 ， 利 用 日 志 （ 如 防 火 墙 或 者 其 他 设 备 的 日 志 ） 和 公 开 的 I P 地 址 黑 名 单 ， 这 种 简 单 的 方 法 能 够 避 免 组 织 中 有 价 值 的 数 据 落 入 恶 意 软 件 运 营 者 之 手 。 最 不 常 见 的 恶 意 软 件 类 型 ： 这 个 报 告 很 好 地 揭 示 了 企 业 中 不 寻 常 从 而 可 能 具 有 破 坏 性 的 恶 意 软 件 。 2 . 7   关 键 错 误 和 故 障 报 告 关 键 错 误 和 故 障 报 告 这 些 报 告 总 结 各 种 严 重 的 错 误 和 故 障 指 示 ， 这 些 指 示 往 往 在 安 全 上 有 直 接 意 义 。 重 要 性 重 要 性 错 误 和 故 障 日 志 消 息 往 往 提 供 安 全 威 胁 的 早 期 指 示 ， 包 括 安 全 专 用 设 备 （ 如 I D S 何 I P S 系 统 ） 所 没 有 捕 捉 到 的 高 级 威 胁 。 注 意 不 寻 常 的 错 误 消 息 ， 在 网 络 中 出 现 可 能 具 备 破 坏 性 的 新 威 胁 因 素 时 常 常 能 得 到 回 报 。 具 体 报 告 具 体 报 告 这 一 类 别 的 关 键 报 告 有 ： 按 照 系 统 、 应 用 程 序 、 业 务 单 位 排 列 的 关 键 错 误 。 虽 然 在 表 面 上 没 有 安 全 意 义 ， 但 是 出 现 在 日 志 中 的 各 种 错 误 消 息 （ 尤 其 是 第 一 次 出 现 ） 应 该 加 以 调 查 ， 因 为 它 们 往 往 提 供 恶 意 活 动 的 早 期 指 示 ； 下 一 小 节 中 的 分 析 性 报 告 可 以 非 常 有 效 地 用 在 这 类 日 志 消 息 的 管 理 中 。 系 统 和 应 用 程 序 崩 溃 、 关 闭 、 重 启 ： 每 当 应 用 程 序 崩 溃 ， 由 于 失 败 的 攻 击 或 者 其 他 原 因 ， 业 务 功 能 可 能 受 到 影 响 ， 不 能 将 这 些 事 件 只 当 成 可 用 性 问 题 ， 而 应 该 进 行 调 查 ， 找 出 攻 击 的 非 直 接 早 期 指 示 。 备 份 故 障 时 影 响 业 务 持 续 性 并 可 能 影 响 监 管 依 从 性 的 关 键 事 件 ， 此 外 ， 未 授 权 备 份 （ 在 这 里 指 的 是 失 败 的 尝 试 ） 可 能 是 因 为 攻 击 者 试 图 窃 取 数 据 而 触 发 的 。 内 存 、 磁 盘 、 C P U 和 其 他 系 统 资 源 容 量 耗 尽 / 达 到 极 限 ： 资 源 的 高 利 用 率 往 往 是 因 为 攻 击 者 或 者 业 务 系 统 未 授 权 使 用 所 引 起 的 ， 也 可 能 是 因 为 洪 水 攻 击 、 拒 绝 服 务 或 者 暴 力 破 解 攻 击 。 基 于 所 有 日 志 数 据 创 建 每 个 人 都 能 使 用 的 报 告 列 表 是 不 可 能 的 。 不 管 依 从 性 法 规 如 何 强 制 ， 创 建 这 种 列 表 的 所 有 尝 试 都 注 定 会 失 败 。 但 是 ， 拥 有 几 乎 每 个 人 都 应 该 使 用 的 报 告 列 表 ， 并 根 据 情 况 进 行 调 整 是 很 实 用 的 做 法 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理