Varför logghantering är viktigt

Loggövervakning fungerar mycket som en vaktpost. Tidigare hade militära fort vakttorn på sina väggar där vaktposter eller vakter skulle placeras ut för att titta på omgivningarna. Det var deras ansvar att larma de inuti om de såg någon misstänkt aktivitet så att invånarna i hamnarna skulle kunna förbereda sig i händelse av en attack.

Med loggövervakning är det något liknande. Loggningssystemet kommer att hålla reda på händelser i systemet, aktiviteter i nätverket och olika åtgärder som användaren vidtar.

Informationen som ditt loggningssystem producerar går under många namn: händelseloggar, loggfiler, granskningsspår och granskningsposter. Arbetet med loggövervakningssystemet är att övervaka loggfiler och se till att allt fungerar bra.

Nästan all programvara genererar loggar. Från webbläsare till operativsystem till brandväggar till POS-mjukvara. Vissa av dem kan ha förmågan att logga men kommer inte att göra det som standard vilket gör det viktigt att alltid se till att loggar är påslagna i vilket system du än arbetar med. Även om systemen har sina egna loggningsverktyg inbyggda, har inte alla logghanteringsverktyg inbyggda också. Det är därför det är viktigt att känna till funktionerna i ditt system och till och med installera tredjepartslösningar för logghantering om du måste.

Daglig recension nödvändig

Det är viktigt att granska dina loggar ständigt eftersom de kommer att visa dig all misstänkt aktivitet som händer i ditt system. Du bör titta igenom dina loggar dagligen för att hitta någon misstänkt aktivitet som äger rum i ditt system.

Loggar är viktiga för säkerhetsändamål eftersom de är de första indikatorerna på att något är fel. När du granskar dem regelbundet ger du dig själv möjligheten att kväva attacker i sin linda.

Grejen med loggar är dock att många loggfiler genereras av även det enklaste systemet dagligen. När du har ett stort företagssystem kan antalet loggfiler vara häpnadsväckande. Det skulle inte vara praktiskt att gå igenom dem och leta efter onormala händelser manuellt. Det bästa sättet att hantera problemet är att ha ett loggövervakningssystem i realtid som varnar dig varje gång något oväntat upptäcks.

Filtrera bort det du inte behöver

Naturligtvis är system och nätverk olika över hela linjen och därför kommer inte alla loggfiler som genereras av ditt system att vara användbara för dig. Därför måste du kunna filtrera bort det du inte behöver så att du bara stannar kvar med det som är viktigt för dig. Det kan vara lite av en konstform eftersom du ständigt bör ändra inställningarna för att passa den typ av miljö som ditt system går igenom för tillfället.

De flesta loggövervakningslösningar kommer med några mallar för varningar så att du har någonstans att komma igång. Det är inte den ultimata lösningen, men du får åtminstone en utgångspunkt varifrån du kan utföra optimering. Du bör ta dig tid att optimera dessa varningsfunktioner tidigt så att du inte går igenom en svår tid senare. Det finns olika händelser som du kanske vill ha varningar för, beroende på vilken typ av system du kör:

• Obehöriga inloggningar
• Ändringar av lösenord
• Nya inloggningar
• Inloggningsfel
• Detektering av skadlig programvara
• Attacker av skadlig programvara
• Denial of service-attacker
• Skannar på öppna och stängda portar samt dina brandväggar
• Ändringar av filnamn
• Fel associerade med nätverksenheter
• Exporterad data
• Ändringar av filers integritet
• Händelser med delad åtkomst
• Stoppa pågående processer eller start av nya processer
• Granskning av filer
• Installation av nya tjänster
• Frånkopplade händelser
• Ändring av registervärden
• Nya användarkonton

Detta är bara några av de många saker du kanske vill ha en varning om. Allt beror på vilken typ av system du kör.

Hantera loggar mer effektivt

Samtidigt finns det några steg du kan vidta för att hantera dina loggar mer effektivt, oavsett vilken typ av system du kör:

• Ta reda på hur du vill generera dina loggar och när
• Förvara dina loggar någonstans säkert för att skydda dem från hackare och även för att säkerställa att välmenande människor inte ändrar dem av misstag
• Låt en betrodd anställd granska loggarna dagligen
• Låt ett team se upp för misstänkta varningar från ditt loggövervakningsverktyg
• Ha protokoll på plats för att styra genereringen av varningar; få detta rätt första gången som är lämpligt för dina unika omständigheter så att du inte får problem senare
• Ha dina stockar lagrade i minst ett år från tidpunkten för generering; vid varje given tidpunkt, ha de senaste tre månadernas loggar omedelbart tillgängliga
• Leta alltid efter sätt att smidigare insamling, lagring och analys av stockar