搜索

[20978] 2020-04-23_日志管理与分析（五）–规划自己的日志分析系统

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-04-23_日志管理与分析（五）–规划自己的日志分析系统 日 志 管 理 与 分 析 （ 五 ） – 规 划 自 己 的 日 志 分 析 系 统 L e m o n S e c   2 0 2 0 - 0 4 - 2 3 首 发 安 全 脉 搏 ： h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 1 0 8 2 6 . h t m l 对 广 大 I T 工 作 者 ， 尤 其 是 运 维 和 安 全 人 员 来 说 ， “ 日 志 ” 是 一 个 再 熟 悉 不 过 的 名 词 。 作 为 一 名 合 格 的 安 全 人 员 ， 了 解 日 志 的 概 念 ， 了 解 日 志 的 配 置 和 分 析 方 法 ， 是 发 现 威 胁 、 抵 御 攻 击 的 重 要 技 能 ， 有 了 这 方 面 的 深 刻 认 识 ， 各 种 自 动 化 安 全 解 决 方 案 才 能 真 正 地 发 挥 效 能 。 在 前 面 的 文 章 中 ， 分 别 总 结 了 日 志 的 来 源 与 收 集 ： h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 1 0 2 8 3 . h t m l 日 志 的 分 析 工 具 及 报 告 ： h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 1 0 4 2 3 . h t m l 对 日 志 系 统 的 攻 击 ： h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 1 0 4 5 4 . h t m l P C I   D S S 以 及 I S O 2 7 0 0 1 标 准 的 日 志 的 管 理 规 程 ： h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 1 0 6 1 2 . h t m l 如 果 你 打 算 购 买 一 个 商 业 化 系 统 ， 本 章 介 绍 的 内 容 一 般 由 你 的 供 应 商 处 理 。 但 是 ， 你 必 须 参 与 项 目 中 的 每 个 步 骤 ， 你 要 让 供 应 商 满 足 你 的 需 求 ， 是 没 有 取 巧 的 路 可 走 的 。 如 果 你 需 要 部 署 开 源 解 决 方 案 ， 本 章 也 能 给 你 提 供 些 帮 助 。 当 然 ， 哪 些 方 案 适 合 ， 取 决 于 你 在 过 程 中 所 处 的 位 置 。 不 管 你 选 择 何 种 途 径 ， 在 许 多 情 况 下 都 可 以 使 用 本 章 提 供 的 指 南 。 题 主 并 不 是 日 志 分 析 专 家 ， 只 是 借 着 学 习 后 的 总 结 分 享 出 来 ， 每 个 人 在 不 同 时 机 看 的 东 西 不 一 样 ， 欢 迎 指 正 ~ 侯 亮 大 神 曾 说 ： 知 识 的 最 高 的 境 界 是 分 享 ， 而 在 我 看 来 ， 我 们 在 分 享 的 同 时 也 是 对 自 我 认 知 的 一 个 提 升 。 0 1 规 划 自 己 的 日 志 分 析 系 统 除 了 确 定 产 品 或 者 服 务 之 外 ， 你 还 需 要 理 解 产 品 的 具 体 需 求 。 你 应 该 考 虑 的 因 素 有 ： 能 够 定 义 精 确 并 说 明 系 统 如 何 使 用 的 场 景 。 例 如 ， 作 为 用 户 ， 我 想 要 提 取 一 个 报 告 ， 告 诉 我 过 去 2 4 小 时 w i n d o w s 服 务 器 上 的 登 录 失 败 次 数 。
驱 动 因 素 : 是 什 么 驱 动 你 启 动 这 一 项 目 ， 必 要 性 还 是 政 府 法 规 或 者 其 他 目 的 ？ 了 解 有 助 于 为 此 分 配 的 时 间 、 金 钱 和 资 源 。 解 决 的 问 题 ： 部 署 一 个 日 志 分 析 系 统 能 帮 助 你 解 决 哪 些 问 题 ？ 举 个 例 子 ， 你 收 集 的 信 息 类 型 ， 日 志 分 析 系 统 能 够 帮 你 进 行 简 单 的 服 务 器 或 网 络 监 控 。 安 全 和 依 从 性 ： 这 样 的 产 品 是 否 帮 助 你 向 审 计 人 员 、 监 管 人 员 证 明 依 从 性 ？ 1 . 1 规 划 规 划 1 . 1 . 1 角 色 和 职 责 角 色 和 职 责 首 先 必 须 确 定 所 有 角 色 和 职 责 ， 在 项 目 规 划 和 实 施 阶 段 ， 应 该 包 含 哪 些 人 。 这 项 功 能 帮 助 你 了 解 到 ， 企 业 中 的 哪 些 人 可 能 是 日 志 分 析 系 统 的 用 户 。 例 如 ， 程 序 员 是 日 志 记 录 系 统 的 用 户 ， 因 为 他 们 编 写 的 应 用 程 序 必 须 创 建 日 志 消 息 ， 用 于 诊 断 和 故 障 排 除 目 的 。 表 中 是 常 见 角 色 和 职 责 的 一 个 摘 要 ： 角 色 角 色 职 责 职 责 日 志 分 析 系 统 管 理 员 做 为 这 一 角 色 ， 负 责 系 统 的 维 护 和 保 养 。 这 包 括 安 装 软 件 更 新 ， 配 置 日 志 收 集 器 和 其 他 任 务 。 另 一 个 任 务 是 与 组 织 的 其 他 成 员 一 起 工 作 ， 理 解 他 们 对 分 析 系 统 的 需 求 。 换 言 之 ， 如 何 帮 助 其 他 人 从 系 统 中 得 到 价 值 。 业 务 / 产 品 负 责 人 对 产 品 、 特 性 集 、 应 用 程 序 负 有 责 任 的 个 人 或 者 群 体 。 这 一 群 体 通 常 对 日 志 记 录 有 自 己 的 需 求 ， 但 是 他 们 可 能 不 知 道 （ 或 者 不 需 要 知 道 ） 有 一 个 分 析 系 统 。 帮 助 其 他 人 了 解 自 身 需 求 的 责 任 可 能 落 在 你 的 身 上 。 安 全 团 队 安 全 团 队 通 常 负 责 配 置 安 全 设 备 上 的 日 志 记 录 ， 确 保 组 织 的 安 全 态 势 I T / 开 发 经 理 将 日 志 记 录 标 准 做 为 影 响 整 个 组 织 的 “ 必 备 ” 功 能 I T 支 持 团 队 / 管 理 员 / 网 络 操 作 人 员 该 团 队 支 持 生 产 应 用 程 序 ； 他 们 可 能 有 在 应 用 程 序 表 现 异 常 时 读 取 和 分 析 日 志 文 件 的 用 例 。 软 件 开 发 人 员 / 程 序 员 通 过 使 用 库 、 A P I 和 日 志 记 录 功 能 、 遵 循 日 志 记 录 标 准 。 在 开 发 人 员 需 要 跟 踪 应 用 程 序 问 题 等 时 候 ， 日 志 分 析 系 统 对 他 们 也 很 有 用 事 故 响 应 团 队 事 故 响 应 团 队 被 视 为 日 志 分 析 系 统 的 客 户 ， 他 们 将 在 事 故 响 应 和 升 级 期 间 使 用 收 集 的 日 志 内 部 / 外 部 审 计 人 员 根 据 所 在 企 业 的 业 务 类 型 ， 你 可 能 必 须 应 对 审 计 人 员 。 审 计 人 员 通 常 需 要 验 证 你 正 在 收 集 某 类 日 志 ， 以 便 确 定 和 各 种 法 规 的 依 从 性 。   1 . 1 . 2 资 源 资 源 资 源 可 以 帮 助 理 解 企 业 关 于 日 志 记 录 的 需 求 ， 以 及 日 志 记 录 对 环 境 的 影 响 。 规 划 阶 段 ， 你 可 以 向 自 己 提 出 这 样 的 问 题 ： 1 .   你 的 现 有 员 工 ， 哪 些 人 能 够 进 行 日 志 分 析 和 监 控 ？ 2 .   你 的 现 有 员 工 ， 哪 些 人 能 够 进 行 日 志 分 析 系 统 的 管 理 ？ 3 .   你 是 2 4 * 7 运 营 、 只 在 规 定 时 间 内 运 营 ， 还 是 混 合 模 式 ？ 4 .   你 是 否 需 要 构 建 一 个 安 全 运 营 中 心 （ S O C ） ， 或 者 拥 有 一 个 虚 拟 S O C ？ 虚 拟 S O C 团 队 不 是 不 间 断 地 坐 在 那 里 一 直 盯 着 屏 幕 ， 而 是 使 用 警 报 来 驱 动 响 应 、 工 作 流 等 。 5 .   你 对 事 故 响 应 有 何 计 划 ？ 6 .   你 在 日 志 分 析 系 统 的 构 建 上 有 何 种 预 算 ？ 7 .   你 在 长 期 运 行 和 维 护 系 统 （ 硬 件 升 级 、 网 络 升 级 、 人 员 升 级 等 ） 上 有 何 种 预 算 ？
对 这 些 问 题 的 回 答 ， 有 助 于 更 好 地 理 解 项 目 和 最 终 实 施 所 需 要 的 资 源 。 如 果 你 计 划 建 立 2 4 * 7 的 运 营 中 心 ， 需 要 考 虑 如 下 因 素 ： 1 .   你 需 要 雇 佣 新 员 工 ， 还 是 合 理 安 排 内 部 员 工 ？ 2 .   你 的 办 公 室 里 是 否 有 场 所 可 以 安 置 2 4 * 7 运 营 中 心 ？ 3 .   你 的 电 力 容 量 是 否 足 以 供 应 2 4 * 7 中 心 ？ 4 .   你 是 否 有 预 算 购 买 运 营 所 需 的 硬 件 和 软 件 ？ 5 .   你 的 事 故 响 应 和 升 级 规 程 是 怎 么 样 的 ？ 6 .   你 负 责 生 成 哪 些 类 型 报 告 （ 例 如 交 给 管 理 层 的 报 告 ） 1 . 1 . 3 目 标 目 标 在 项 目 的 筹 划 期 、 进 行 期 和 后 期 ， 设 置 目 标 都 很 关 键 。 目 标 可 以 帮 助 你 知 道 自 己 的 进 度 ， 甚 至 有 些 目 标 可 能 是 标 志 着 项 目 可 交 付 成 果 的 里 程 碑 。 下 面 是 一 组 日 志 分 析 系 统 规 划 中 的 目 标 和 里 程 碑 。 目 标 1 - - 规 划 之 前 目 标 2 - - 利 益 相 关 方 确 认 目 标 3 - - 需 求 收 集 里 程 碑 1 - - 项 目 规 划 建 设 目 标 4 - - 日 志 分 析 工 具 评 估 目 标 5 - - 日 志 分 析 工 具 选 择 目 标 6 - - 硬 件 需 求 收 集 里 程 碑 2 - - 硬 件 和 软 件 采 购 目 标 7 - - 软 件 部 署 目 标 8 - - 构 建 运 营 中 心 目 标 9 - - 为 运 营 中 心 配 备 人 员 目 标 1 0 - - 定 义 事 故 响 应 和 升 级 规 程 里 程 碑 3 - - 资 产 投 产 1 . 1 . 4 选 择 日 志 记 录 的 系 统 和 设 备 选 择 日 志 记 录 的 系 统 和 设 备 规 划 过 程 中 有 一 个 关 键 的 点 是 ， 确 定 用 于 评 估 和 选 择 日 志 记 录 的 系 统 和 设 备 的 可 重 复 性 过 程 。 其 中 有 种 方 法 是 为 设 备 指 定 一 个 关 键 程 度 。 例 如 ， 防 火 墙 的 关 键 程 度 高 于 工 作 站 。 下 面 是 选 择 日 志 数 据 源 过 程 的 一 个 示 例 ： 1 .   关 键 性 ： 你 必 须 理 解 日 志 数 据 源 对 环 境 的 关 键 性 。 它 是 企 业 中 主 要 的 W e b 服 务 器 吗 ？ 它 是 包 含 公 司 机 密 的 关 键 研 究 与 开 发 服 务 器 吗 ？ 遭 到 入 侵 就 会 威 胁 你 的 生 存 的 系 统 应 该 排 名 靠 前 。 不 同 的 日 志 源 也 可 能 对 你 的 企 业 有 不 同 的 关 键 性 。 例 如 ， D N S 服 务 器 关 键 性 可 能 低 于 信 贷 处 理 服 务 器 。 2 .   验 证 ： 一 旦 识 别 了 数 据 源 ， 你 必 须 召 集 利 益 相 关 方 ， 验 证 这 个 数 据 源 确 实 是 关 键 资 产 ， 需 要 纳 入 日 志 分 析 系 统 。 3 .   事 故 响 应 ： 最 后 ， 你 需 要 围 绕 指 定 日 志 数 据 源 遭 到 入 侵 时 ， 事 故 处 理 和 响 应 如 何 进 行 ， 确 立 一 个 工 作 流 。 发 生 事 故 时 ， 你 必 须 联 系 谁 ？ 在 遭 到 入 侵 的 主 服 务 器 上 进 行 调 查 时 ， 该 系 统 有 没 有 热 备 份 供 你 进 行 故 障 切 换 ？ 1 . 2   软 件 原 则 软 件 原 则
选 择 日 志 分 析 系 统 时 ， 对 于 开 源 、 商 业 化 或 者 托 管 服 务 有 不 同 的 考 虑 。 1 . 2 . 1 开 源 软 件 开 源 软 件 日 志 分 析 的 开 源 选 项 多 种 多 样 ， 研 究 这 些 工 具 时 更 重 要 的 一 些 考 虑 因 素 ： 1 .   更 新 频 率 ： 社 区 和 核 心 开 发 团 队 对 该 项 目 是 否 进 场 投 入 ？ 如 果 你 在 几 个 月 或 者 更 长 的 时 间 没 有 看 到 活 动 数 据 ， 这 可 能 是 一 个 衰 亡 的 项 目 。 2 .   成 本 ： 有 人 会 说 ， 开 源 意 味 着 “ 免 费 ” 。 这 b u 一 定 ， 开 源 项 目 可 能 以 多 种 形 式 给 你 带 来 成 本 。 你 一 般 需 要 花 费 更 多 的 精 力 去 获 得 、 学 习 和 部 署 开 源 解 决 方 案 。 3 .   许 可 证 ： 开 源 应 用 程 序 与 何 种 许 可 证 发 行 ， 往 往 值 得 注 意 。 它 所 使 用 的 许 可 证 可 能 会 限 制 部 署 软 件 的 方 式 ， 甚 至 规 定 你 的 定 制 软 件 和 该 工 具 集 成 的 方 式 。 4 .   支 持 ： 许 多 开 源 工 具 提 供 你 可 以 购 买 的 支 持 合 同 ， 包 括 电 子 邮 件 支 持 和 其 他 特 性 。 有 些 工 具 甚 至 在 工 具 的 “ 免 费 ” 版 本 之 外 ， 提 供 增 强 的 付 费 版 本 。 增 强 版 本 通 常 有 某 种 程 度 的 支 持 。 5 .   功 能 ： 确 保 你 完 全 理 解 该 工 具 能 做 和 不 能 做 的 事 情 。 如 果 你 首 先 定 义 需 求 ， 就 能 更 好 地 评 估 日 志 分 析 工 具 。 6 .   文 档 ： 显 而 易 见 。 如 果 应 用 程 序 只 有 一 个 R E A D M E 文 本 文 件 作 为 文 档 ， 就 一 般 不 会 是 一 个 好 的 方 案 。 7 .   社 区 ： 有 时 候 是 关 键 的 特 性 。 你 肯 定 希 望 了 解 开 源 工 具 是 否 有 某 种 社 区 的 支 持 。 社 区 一 般 以 留 言 板 的 形 式 推 送 ， 你 可 以 在 那 里 获 得 该 应 用 程 序 的 帮 助 和 支 持 。 8 .   可 扩 展 性 ： 如 果 你 希 望 扩 展 日 志 分 析 系 统 （ 可 能 采 用 自 定 义 脚 本 、 程 序 等 ） ， 就 可 能 需 要 了 解 平 台 的 可 扩 展 性 。 它 有 没 有 A P I 和 其 他 集 成 点 ？ 如 果 平 台 支 持 这 种 扩 展 ， 在 出 现 问 题 时 有 谁 来 支 持 ？ 9 .   功 能 ： 需 要 考 虑 和 研 究 的 功 能 包 括 ： 支 持 的 日 志 获 取 方 式 （ s y s l o g 、 原 始 文 件 、 C h e c k p o i n t 的 O P S E C A P I 等 ） 是 否 易 于 维 护 和 保 养 （ 例 如 ， 是 否 容 易 添 加 新 设 备 源 的 支 持 ？ ） 关 联 （ 是 否 支 持 基 于 规 则 、 统 计 等 ） 报 告 （ 有 哪 些 现 成 的 报 告 ， 是 否 容 易 创 建 新 的 报 告 ？ ） 1 . 2 . 2 商 业 化 软 件 商 业 化 软 件 在 软 件 业 的 许 多 不 同 的 细 分 市 场 中 ， 商 业 化 软 件 总 是 与 企 业 级 解 决 方 案 联 系 在 一 起 。 这 种 关 联 依 然 没 错 ， 但 在 日 志 记 录 和 日 志 分 析 中 “ 细 节 是 魔 鬼 ” 。 在 考 虑 商 业 化 日 志 分 析 系 统 时 ， 一 定 需 要 考 虑 ： 1 .   成 本 ： 最 基 础 的 考 虑 因 素 。 商 业 化 日 志 分 析 系 统 根 据 网 络 的 大 小 、 计 划 留 存 的 数 据 等 各 不 相 同 。 2 .   支 持 模 式 ： 商 业 化 解 决 方 案 的 支 持 是 确 保 你 从 平 台 中 获 得 最 大 价 值 的 关 键 。 你 必 须 了 解 支 持 模 式 的 各 个 方 面 ， 了 解 它 与 你 的 业 务 需 求 （ 如 正 常 运 行 时 间 、 周 转 时 间 等 ） 是 否 保 持 一 致 。 3 .   专 业 服 务 ： 大 部 分 商 业 化 供 应 商 提 供 某 种 专 业 服 务 ， 帮 助 你 安 装 和 设 置 软 件 。 这 通 常 需 要 额 外 付 费 ， 换 言 之 ， 它 不 是 免 费 的 。 4 .   可 扩 展 性 ： 和 开 源 软 件 类 似 ， 你 应 该 确 定 产 品 的 可 扩 展 性 。 托 管 安 全 性 服 务 提 供 商 （ 托 管 安 全 性 服 务 提 供 商 （ M S S P ） ） M S S P 为 构 建 和 部 署 自 己 的 日 志 分 析 提 供 了 一 个 替 代 品 。 其 吸 引 力 主 要 来 自 组 织 ， 不 需 要 担 心 人 员 的 招 聘 和 培 训 ， 软 硬 件 的 部 署 和 维 护 以 及 其 他 琐 事 。 M S S P 的 明 显 好 处 之 一 是 ， 它 们 有 训 练 有 素 、 经 过 认 证 的 分 析 人 员 。 这 对 于 没 有 同 样 专 业 性 的 客 户 来 说 是 巨 大 的 优 势 。 研 究 M S S P 时 需 要 考 虑 的 一 个 因 素 如 下 ：
1 .   功 能 ： 需 要 研 究 的 M S S P 功 能 不 同 于 现 场 日 志 分 析 系 统 。 以 前 提 到 的 大 部 分 功 能 都 由 M S S P 维 护 ， 所 以 更 应 该 关 心 的 功 能 包 括 客 户 门 户 的 实 用 性 。 该 门 户 是 你 用 于 搜 索 日 志 消 息 、 运 行 报 告 、 响 应 事 故 和 工 作 单 等 的 主 要 界 面 。 2 .   分 析 和 事 故 响 应 ： 需 要 考 虑 的 因 素 之 一 ， 是 M S S P 如 何 进 行 分 析 和 事 故 响 应 。 你 的 关 键 业 务 必 须 确 保 M S S P 与 你 的 目 标 相 一 致 。 3 .   专 业 服 务 ： M S S P 提 供 的 专 业 服 务 ， 特 别 是 需 要 现 场 事 故 响 应 的 时 候 起 到 很 重 要 的 作 用 。 这 些 服 务 通 常 需 要 附 件 成 本 ， 超 出 了 常 规 服 务 的 费 用 。 4 .   数 据 保 存 ： 确 保 你 理 解 日 志 数 据 保 存 的 时 间 。 你 可 能 必 须 符 合 与 保 存 相 关 的 某 些 监 管 原 则 。 你 可 能 需 要 至 少 一 年 ， 甚 至 更 久 。 5 .   云 日 志 ： 之 后 我 们 会 详 细 介 绍 云 日 志 的 主 题 。 基 本 要 点 是 ， 提 供 者 在 其 数 据 中 心 提 供 一 个 环 境 ， 你 可 以 将 日 志 转 发 给 它 们 。 这 种 方 法 不 需 要 在 现 场 有 特 殊 的 硬 件 。 这 对 于 某 些 组 织 可 能 很 立 项 ， 但 是 对 其 他 组 织 就 不 一 定 了 。 不 同 的 依 从 性 和 法 规 可 能 禁 止 某 些 组 织 以 这 种 方 式 运 营 。 6 .   服 务 水 平 协 议 ： M S S P 提 供 服 务 水 平 协 议 。 在 M S S P 的 环 境 中 ， S L A 规 定 了 分 析 、 事 故 响 应 和 升 级 的 低 限 和 高 限 ， 通 常 在 你 签 署 的 合 同 中 列 明 。 7 .   使 用 数 据 以 保 护 数 据 ： 因 为 M S S P 监 控 大 量 客 户 的 安 全 性 ， 在 某 个 客 户 检 测 到 威 胁 和 入 侵 时 ， 创 建 保 护 并 应 用 到 所 有 客 户 。 这 是 所 有 客 户 都 能 获 益 的 强 大 工 具 。   1 . 3   策 略 定 义 策 略 定 义 策 略 定 义 处 理 一 组 规 程 的 创 建 ， 你 将 把 这 些 规 程 作 为 例 行 程 序 的 一 部 分 。 下 面 将 简 单 描 述 较 为 常 用 和 必 要 的 策 略 ， 需 要 在 规 划 日 志 分 析 系 统 时 加 以 考 虑 。 定 期 和 经 常 审 核 你 的 策 略 ， 以 确 保 它 们 与 组 织 的 需 求 和 需 要 一 致 ， 也 是 很 关 键 的 。 1 . 3 . 1   日 志 记 录 策 略 日 志 记 录 策 略 最 直 接 的 关 注 点 是 ， 为 组 织 定 义 一 个 日 志 记 录 策 略 。 日 志 记 录 策 略 包 括 ： 覆 盖 日 志 事 件 类 型 （ 登 录 / 注 销 、 资 源 、 防 火 墙 接 受 / 拒 绝 、 i p s / i d s 警 报 等 ） 和 细 节 的 足 够 日 志 记 录 。 日 志 聚 合 和 保 存 （ 1 年 等 ） 。 日 志 保 护 （ 确 保 日 志 不 被 篡 改 ） 。 日 志 审 核 日 志 记 录 策 略 ， 定 义 日 志 数 据 应 该 捕 捉 哪 些 属 性 供 以 后 审 核 、 升 级 和 响 应 。 日 志 记 录 策 略 还 需 要 扩 展 到 应 用 程 序 。 例 如 ， 如 果 你 有 定 制 的 应 用 程 序 ， 有 必 要 和 应 用 程 序 利 益 相 关 方 一 起 定 义 哪 些 信 息 应 该 记 录 ， 并 使 之 可 用 于 日 志 记 录 系 统 。 1 . 3 . 2   日 志 文 件 轮 转 日 志 文 件 轮 转 日 志 文 件 轮 转 是 另 一 个 需 要 定 义 的 策 略 。 随 着 你 所 监 控 的 日 志 文 件 的 增 加 ， 本 地 系 统 上 的 磁 盘 会 被 堆 满 。 磁 盘 满 时 ， 应 用 程 序 可 能 就 无 法 正 常 运 行 。 甚 至 让 你 丢 失 关 键 的 日 志 数 据 。 所 以 ， 可 以 按 照 如 下 方 法 ， 开 发 一 个 全 组 织 的 日 志 文 件 轮 转 策 略 ： 基 于 时 间 ： 根 据 时 间 范 围 轮 转 日 志 文 件 ， 也 就 是 说 ， 按 照 分 钟 、 小 时 等 。 最 大 化 实 用 性 ： 这 里 的 关 键 是 使 系 统 对 用 户 有 用 。 需 要 采 取 平 衡 的 措 施 ： 轮 转 的 日 志 需 要 保 留 足 够 长 的 时 间 以 确 保 其 实 用 性 ， 同 时 又 不 能 影 响 整 个 系 统 。
及 时 转 移 到 长 期 存 储 ： 这 里 的 思 路 是 ， 日 志 保 留 在 源 系 统 上 的 时 间 长 度 要 足 以 用 于 审 核 。 根 据 系 统 的 繁 忙 程 度 ， 这 一 时 间 大 概 是 几 小 时 。 1 . 3 . 3   日 志 数 据 收 集 日 志 数 据 收 集 数 据 收 集 是 日 志 分 析 系 统 中 最 重 要 的 部 分 。 没 有 这 一 功 能 ， 你 就 无 法 用 日 志 分 析 系 统 实 现 目 标 。 首 先 ， 应 该 了 解 环 境 中 哪 些 设 备 应 该 配 置 为 生 成 日 志 数 据 。 举 个 例 子 ， 你 的 激 光 打 印 机 能 够 生 成 日 志 数 据 ， 但 这 并 不 意 味 着 你 会 捕 获 它 。 日 志 数 据 收 集 的 策 略 需 要 根 据 环 境 进 行 调 整 ， 比 方 说 ， 你 可 能 只 需 从 外 部 防 火 墙 和 I D S I P S 系 统 中 获 取 日 志 消 息 ， 也 可 能 需 要 收 集 来 自 网 络 中 每 个 防 火 墙 、 I P S 、 服 务 器 和 桌 面 电 脑 的 日 志 记 录 。 但 无 论 如 何 ， 你 应 该 确 保 每 3 至 6 个 月 审 核 这 个 策 略 ， 确 保 组 织 的 需 求 与 你 的 数 据 收 集 策 略 相 符 。 1 . 3 . 4   保 存 保 存 / 存 储 存 储 日 志 的 保 存 是 许 多 法 规 的 要 求 ， 我 们 知 道 的 日 志 保 存 ， 实 际 上 由 三 部 分 组 成 ： 日 志 存 储 、 可 访 问 性 和 日 志 销 毁 。 强 调 ， 绝 不 要 用 s y s l o g 服 务 器 作 为 日 志 保 存 系 统 。 同 时 还 要 注 意 的 是 如 何 确 定 保 存 所 需 的 存 储 容 量 。 我 们 并 不 一 定 要 采 用 大 型 服 务 器 和 磁 盘 列 阵 。 你 所 选 择 的 日 志 分 析 解 决 方 案 可 能 支 持 分 布 式 存 储 模 型 ， 在 这 种 模 型 下 ， 接 收 日 志 数 据 的 系 统 节 点 也 可 能 作 为 保 存 点 。 在 评 估 日 志 分 析 系 统 的 时 候 ， 也 要 记 得 考 虑 这 一 点 。 1 . 3 . 5   响 应 响 应 下 一 篇 文 章 将 会 详 细 介 绍 事 故 响 应 ， 本 次 暂 不 更 新 。 1 . 4   架 构 架 构 日 志 分 析 系 统 分 部 署 很 大 程 度 上 取 决 于 网 络 的 规 模 ， 以 及 你 从 网 络 的 哪 些 部 分 收 集 日 志 。 1 .   基 本 模 型 2 .   日 志 服 务 器 和 日 志 收 集 器 3 .   日 志 服 务 器 和 具 有 长 期 存 储 的 日 志 收 集 器 4 .   分 布 式 部 署 1 . 4 . 1   基 本 模 型 基 本 模 型 基 本 部 署 模 型 是 你 可 以 使 用 的 最 简 单 模 式 。 它 由 单 个 日 志 服 务 器 组 成 ， 多 个 设 备 向 其 发 送 日 志 。 如 图 ， 在 这 种 模 型 下 ， 你 可 以 将 日 志 记 录 到 日 志 服 务 器 ， 以 进 行 日 志 审 核 。 这 当 然 不 是 最 理 想 的 情 况 ， 但 是 在 条 件 不 足 的 情 况 下 或 许 是 最 佳 的 选 择 。
1 . 4 . 2   日 志 服 务 器 和 日 志 收 集 器 日 志 服 务 器 和 日 志 收 集 器 较 常 见 的 一 种 部 署 模 式 是 将 日 志 收 集 器 分 布 到 网 络 中 有 战 略 意 义 的 位 置 。 这 些 系 统 从 他 们 所 在 的 设 备 中 收 集 日 志 。 这 些 日 志 收 集 器 可 能 是 网 络 中 的 特 殊 部 分 （ 可 能 是 一 个 入 口 点 ） ， 你 应 该 确 保 捕 捉 防 火 墙 日 志 。 日 志 收 集 器 将 把 日 志 转 发 到 集 中 日 志 服 务 器 。 图 中 ， 通 过 日 志 收 集 器 向 日 志 服 务 器 发 送 日 志 。 且 需 要 注 意 ， 日 志 服 务 器 本 身 也 可 以 作 为 日 志 收 集 器 。 根 据 你 所 选 择 的 日 志 分 析 系 统 ， 这 种 部 署 的 配 置 细 节 将 是 特 定 于 供 应 商 的 。 日 志 服 务 器 作 为 审 核 日 志 、 分 析 日 志 等 工 作 的 集 中 位 置 。 日 志 收 集 器 可 以 看 作 日 志 的 临 时 备 份 ， 但 是 不 能 完 全 信 赖 。 1 . 4 . 3   日 志 服 务 器 和 具 备 长 期 存 储 的 日 志 日 志 服 务 器 和 具 备 长 期 存 储 的 日 志 收 集 器 在 这 个 模 型 中 ， 我 们 可 以 添 加 长 期 存 储 日 志 服 务 器 写 入 某 种 长 期 存 储 。 同 样 ， 配 置 是 供 应 商 特 定 的 。 具 有 长 期 存 储 的 基 本 日 志 服 务 器 部 署 1 . 4 . 4   分 布 式 部 署 分 布 式 部 署 你 使 用 分 布 在 整 个 环 境 中 的 日 志 收 集 器 收 集 日 志 ， 这 些 日 志 收 集 器 会 将 日 志 汇 聚 到 一 个 或 者 多 个 日 志 服 务 器 。 在 层 次 化 模 型 中 ， 你 可 以 让 多 个 日 志 服 务 器 将 日 志 积 累 到 一 个 集 中 日 志 服 务 器 ， 提 供 环 境 的 视 图 。 在 日 志 服 务 器 级 别 进 行 自 动 化 分 析 的 情 况 下 ， 考 虑 分 布 式 分 析 方 案 ， 这 样 可 以 减 少 单 一 服 务 器 完 成 这 种 任 务 的 需 求 ， 减 少 了 服 务 器 负 载 并 缓 解 该 单 一 故 障 点 。 扩 展 是 日 志 分 析 系 统 管 理 额 重 要 部 分 。 下 面 是 用 于 协 助 的 一 些 通 用 技 巧 。 1 .   了 解 你 的 环 境 。 为 了 扩 展 ， 你 需 要 掌 握 进 出 网 络 的 设 备 。 确 保 你 和 利 益 相 关 方 举 行 每 周 会 议 ， 审 核 部 署 新 设 备 的 计 划 。
确 保 你 的 分 析 系 统 中 包 含 合 适 的 设 备 日 志 记 录 ， 对 于 最 大 化 这 种 部 署 的 实 用 性 是 至 关 重 要 的 。 2 .   确 定 你 知 道 网 络 中 的 哪 些 日 志 数 据 更 为 优 先 。 举 例 ， 防 火 墙 日 志 可 能 比 来 自 打 印 机 的 日 志 更 重 要 。 3 .   理 解 环 境 何 时 饱 和 。 在 日 志 审 核 中 ， 如 果 你 注 意 到 日 志 数 据 是 几 个 小 时 前 的 ， 就 可 能 碰 到 了 问 题 。 如 果 你 采 用 分 布 式 部 署 ， 应 该 调 查 日 志 收 集 器 和 日 志 服 务 器 ， 看 看 为 什 么 它 们 落 在 后 面 。 为 什 么 服 务 器 有 很 高 的 C P U 负 载 ？ 它 遇 到 了 I / O 问 题 吗 ？ 这 些 情 况 都 是 数 据 容 量 增 加 的 信 号 。 这 可 能 是 恶 意 活 动 的 特 征 ， 也 可 能 你 需 要 引 入 新 的 日 志 收 集 器 ， 将 日 志 数 据 转 移 到 新 的 服 务 器 。   上 面 介 绍 了 规 划 、 策 略 定 义 、 软 件 选 择 、 部 署 和 扩 展 。 这 些 都 是 选 择 和 部 署 一 个 日 志 分 析 系 统 的 方 法 和 原 因 的 重 要 部 分 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理