Чому керування журналами є важливим

Моніторинг журналу працює дуже подібно до вартового. У минулому військові форти мали сторожові вежі на своїх стінах, де вартові або вартові були розміщені для спостереження за околицями. Вони повинні були попередити тих, хто всередині, якщо вони помітять будь-яку підозрілу діяльність, щоб жителі портів могли підготуватися на випадок нападу.

З моніторингом журналу це дещо схоже. Система реєстрації відстежуватиме події в системі, дії в мережі та різні дії, які виконує користувач.

Інформація, яку створює ваша система реєстрації, має багато назв: журнали подій, файли журналів, контрольні журнали та записи аудиту. Робота системи моніторингу журналів полягає в тому, щоб контролювати файли журналів і гарантувати, що все працює нормально.

Майже все програмне забезпечення генерує журнали. Від інтернет-браузерів до операційних систем, брандмауерів і програмного забезпечення для торгових точок (POS). Деякі з них можуть мати можливість вести журнал, але не роблять це за замовчуванням, тому важливо завжди вмикати журнали в будь-якій системі, з якою ви працюєте. Крім того, хоча системи мають власні вбудовані інструменти журналювання, не всі вони також мають вбудовані інструменти керування журналами. Ось чому важливо знати можливості вашої системи та навіть інсталювати сторонні рішення для керування журналами, якщо потрібно.

Необхідний щоденний огляд

Важливо постійно переглядати свої журнали, оскільки вони покажуть вам будь-яку підозрілу активність у вашій системі. Ви повинні щодня переглядати свої журнали, щоб знайти будь-яку підозрілу активність, яка відбувається у вашій системі.

Журнали важливі для цілей безпеки, оскільки вони є першими індикаторами того, що щось не так. Регулярно переглядаючи їх, ви даєте собі можливість придушити нападки в зародку.

Однак проблема журналів полягає в тому, що навіть найпростіша система щодня створює багато файлів журналу. Якщо у вас є велика корпоративна система, кількість файлів журналу може бути приголомшливою. Переглядати їх і шукати аномальні події вручну було б непрактично. Найкращий спосіб вирішити цю проблему — це мати систему моніторингу журналів у реальному часі, яка сповіщатиме вас щоразу, коли виявляється щось несподіване.

Відфільтруйте те, що вам не потрібно

Звичайно, системи та мережі відрізняються між собою, тому не всі файли журналу, створені вашою системою, будуть вам корисні. Тому вам потрібно вміти відфільтрувати те, що вам не потрібно, щоб залишитися лише з тим, що для вас важливо. Це може бути певною формою мистецтва, оскільки ви повинні постійно змінювати налаштування відповідно до типу середовища, через яке зараз проходить ваша система.

Більшість рішень моніторингу журналів постачаються з деякими шаблонами для сповіщень, щоб у вас було з чого почати. Це не найкраще рішення, але принаймні ви отримуєте відправну точку, з якої можна виконувати оптимізацію. Ви повинні не поспішати, щоб оптимізувати ці функції сповіщень на ранній стадії, щоб потім не пройти через важкий час. Існують різні події, про які вам можуть знадобитися сповіщення, залежно від типу системи, яку ви використовуєте:

• Неавторизовані входи
• Зміни паролів
• Нові логіни
• Помилки входу
• Виявлення шкідливих програм
• Атаки шкідливих програм
• Атаки на відмову в обслуговуванні
• Сканує відкриті та закриті порти, а також брандмауери
• Зміни імен файлів
• Помилки, пов’язані з мережевими пристроями
• Експортовані дані
• Зміни цілісності файлів
• Події спільного доступу
• Зупинка запущених процесів або запуск нових процесів
• Аудити файлів
• Встановлення нових сервісів
• Відключені події
• Зміна значень реєстру
• Нові облікові записи користувачів

Це лише деякі з багатьох речей, про які ви можете попередити. Все залежить від типу системи, яку ви використовуєте.

Ефективніше керуйте журналами

Тим часом є кілька кроків, які ви можете зробити, щоб ефективніше керувати своїми журналами, незалежно від того, яку систему ви використовуєте:

• Визначте, як і коли ви хочете створити свої журнали
• Зберігайте свої журнали в надійному місці, щоб захистити їх від хакерів, а також щоб люди з добрими намірами помилково не змінили їх
• Нехай довірений працівник щодня переглядає журнали
• Майте команду, яка стежитиме за підозрілими сповіщеннями від вашого інструменту моніторингу журналів
• мати протоколи для керування генерацією попереджень; зробіть це правильно з першого разу відповідно до ваших унікальних обставин, щоб потім у вас не виникало проблем
• Зберігайте журнали принаймні рік з моменту створення; у будь-який момент мати миттєвий доступ до журналів за останні три місяці
• Завжди шукайте способи згладити збір, зберігання та аналіз журналів