Hvorfor loggadministrasjon er viktig

Loggovervåking fungerer veldig som en vaktpost. Tidligere hadde militære fort vakttårn på veggene hvor vaktposter eller vakter ble plassert for å se på omgivelsene. Det var deres ansvar å varsle de inne hvis de så noen mistenkelig aktivitet, slik at innbyggerne i havnene kunne forberede seg i tilfelle et angrep.

Med loggovervåking er det litt likt. Loggesystemet vil holde oversikt over hendelser i systemet, aktiviteter i nettverket og ulike handlinger foretatt av brukeren.

Informasjonen loggingssystemet ditt produserer går under mange navn: hendelseslogger, loggfiler, revisjonsspor og revisjonsposter. Arbeidet til loggovervåkingssystemet er å overvåke loggfiler og sikre at alt fungerer helt fint.

Nesten all programvare genererer logger. Fra nettlesere til operativsystemer til brannmurer til POS-programvare. Noen av dem kan ha muligheten til å logge, men vil ikke gjøre det som standard, noe som gjør det viktig å alltid sørge for at logger er slått på uansett hvilket system du jobber med. Selv om systemene har sine egne loggverktøy innebygd, har ikke alle loggstyringsverktøy innebygd også. Derfor er det viktig å kjenne til systemets funksjoner og til og med installere tredjepartsløsninger for loggadministrasjon hvis du må.

Daglig gjennomgang nødvendig

Det er viktig å gjennomgå loggene dine kontinuerlig fordi de vil vise deg mistenkelig aktivitet som skjer i systemet ditt. Du bør se gjennom loggene dine på daglig basis for å finne mistenkelig aktivitet som finner sted i systemet ditt.

Logger er viktige for sikkerhetsformål fordi de er de første indikatorene på at noe er galt. Når du vurderer dem regelmessig, gir du deg selv muligheten til å nappe angrep i knoppen.

Saken med logger er imidlertid at mange loggfiler genereres av selv det enkleste systemet på daglig basis. Når du har et stort bedriftssystem, kan antallet loggfiler være svimlende. Det ville ikke være praktisk å gå gjennom dem og lete etter unormale hendelser manuelt. Den beste måten å håndtere problemet på er å ha et loggovervåkingssystem i sanntid som varsler deg hver gang noe uventet oppdages.

Filtrer ut det du ikke trenger

Selvfølgelig er systemer og nettverk forskjellige over hele linja, og derfor vil ikke alle loggfilene som genereres av systemet ditt være nyttige for deg. Derfor må du være i stand til å filtrere ut det du ikke trenger, slik at du bare forblir med det som er viktig for deg. Det kan være litt av en kunstform siden du hele tiden bør endre innstillingene for å passe med hva slags miljø systemet ditt går gjennom for øyeblikket.

De fleste loggovervåkingsløsninger kommer med noen maler for varsler slik at du har et sted å komme i gang. Det er ikke den ultimate løsningen, men du får i det minste et utgangspunkt hvor du kan utføre optimalisering. Du bør ta deg tid til å optimalisere disse varslingsfunksjonene tidlig, slik at du ikke går gjennom en vanskelig tid senere. Det er forskjellige hendelser du kanskje vil ha varsler for, avhengig av hva slags system du kjører:

• Uautoriserte pålogginger
• Endringer i passord
• Nye pålogginger
• Innloggingsfeil
• Deteksjon av skadelig programvare
• Angrep fra skadelig programvare
• Denial of service angrep
• Skanner på åpne og lukkede porter samt brannmurene dine
• Endringer i filnavn
• Feil knyttet til nettverksenheter
• Eksporterte data
• Endringer i integriteten til filer
• Arrangementer med delt tilgang
• Stopp av kjørende prosesser eller oppstart av nye prosesser
• Revisjon av filer
• Installasjon av nye tjenester
• Frakoblede hendelser
• Endring av registerverdier
• Nye brukerkontoer

Dette er bare noen av de mange tingene du kanskje vil ha et varsel om. Alt avhenger av hva slags system du kjører.

Administrer logger mer effektivt

I mellomtiden er det noen trinn du kan ta for å administrere loggene dine mer effektivt, uansett hva slags system du kjører:

• Finn ut hvordan du vil generere loggene dine og når
• Lagre loggene dine et sikkert sted for å beskytte dem mot hackere og også for å sikre at velmenende mennesker ikke feilaktig endrer dem
• Få en pålitelig ansatt til å gjennomgå loggene på daglig basis
• Ha et team til å se opp for mistenkelige varsler fra loggovervåkingsverktøyet ditt
• Ha protokoller på plass for å styre genereringen av varsler; få dette riktig første gang som passer for dine unike omstendigheter, slik at du ikke har problemer senere
• Ha loggene lagret i minst ett år fra generasjonstidspunktet; til enhver tid ha de siste tre månedene med logger umiddelbart tilgjengelige
• Se alltid etter måter å jevne innsamling, lagring og analyse av logger på