DAY56 日誌管理/遠端日誌伺服器

• 一. 什麼是日誌管理? Log Management
  • 1.1 Log的完整性
• 二. 遠端日誌伺服器
• 三. 日誌的機密性
• 四. 日誌來源有哪些?

假設今天沒有log，那有入侵時會不知道

1. 誰登入
2. 什麼時間
3. 從哪裡來
4. 執行什麼
5. 改了什麼

會完全沒辦法調查
所以log對於還原攻擊時間線來說非常重要

這時對log的安全就很重要

• 安全監控
• 事件應變
• 數位鑑識
• 稽核

日誌會記錄什麼?

1. 使用者識別碼
2. 系統活動
3. 登入/登出
4. 日期與時間
5. 成功與失敗的存取紀錄
6. 系統組態變更
7. 特權使用
8. 檔案存取
9. 網路位址
10. 協定
11. 操作紀錄

簡單來說:誰+何時+哪裡+做什麼+結果

一. 什麼是日誌管理? Log Management

整個管理流程會像是:

1. 產生日誌
2. 收集
3. 儲存
4. 保護
5. 保存
6. 檢視
7. 分析

Log的保存不是永久
而是依照:

• 法規
• 政策
• 稽核需求
• 鑑識需求

做決定

為什麼要保護log
攻擊者在成功入侵後，通常都會想刪除log
因為這樣就能將證據刪除
所以log本身也是重要的資產

1.1 Log的完整性

在日誌管理中需要很重視日誌的完整性
防止日誌被未授權的修改或刪除

假設被修改的日誌
對於調查來說就不可信了

假設只把Log存在本機:
Log -> 本機A
攻擊者如果成功入侵本機A

刪除Log後所有證據都會消失

所以Log如果只放在本機風險很高

二. 遠端日誌伺服器

Remote Log Server
專門存放Log的獨立系統

以剛剛的本機A做舉例:

本機A -> Log -> 傳送到專門存放Log的獨立系統中

假設跟剛剛一樣:
主機A被駭入

攻擊者刪掉主機A的本機Log

但是本機A已經將Log傳到遠端伺服器

所以就算攻擊者刪掉本機的log
但遠端的副本還在

Q: 為了防止攻擊者入侵後刪除日誌軌跡，最佳做法?
A: 將日誌即時傳送到遠端獨立的Log Server(日誌伺服器)

這種方式也能方便管理公司的日誌
假設公司有
100台server
200台PC
如果每台都要一台一台看會很麻煩
當集中到同一台伺服器
就可以方便:

• 搜尋
• 篩選
• 關聯
• 分析

三. 日誌的機密性

日誌本身通常含有敏感資訊
例如:

• User ID
• IP
• Email
• Session ID
• 等等

所以日誌需要做

• 存取控制
• 加密
• 最小權限

IPAS 115-1 Q44
下列哪一項資訊較「不」建議直接記錄在明文的系統日誌（Log）中，以免造成資訊洩露？
D :使用者的明文密碼

通常只會記事件，不會記秘密
例如:
登入失敗 Login Failed
User : Mikey
IP : 127.0.0.1
Time : 14:00

但通常不會記
Password: 123456

Log的時間要注意
假設兩台系統的時間相差了10分鐘
那調查時Log上顯示的時間就會有誤差
所以系統必須要:
時間同步
才能重建正確的攻擊順序

四. 日誌來源有哪些?

常見的日誌來源有:

• 作業系統日誌
• 應用程式日誌
• 資料庫日誌
• 防火牆日誌
• 入侵偵測/防禦日誌 IDS/IPS
• 端點偵測與回應日誌 EDR
• 身分驗證日誌
• 雲端日誌