無論是提高性能、收集商業(yè)情報還是檢測安全威脅,日志管理可以歸結為3個步驟:收集日志、存儲數據和分析數據來發(fā)現模式。然而,雖然收集和分析日志數據是SANS協(xié)會確定的20個關鍵安全控制之一,大多數企業(yè)并沒有定期收集和分析其日志,除非有法律明文規(guī)定。IT管理和監(jiān)控軟件制造商SolarWinds的產品經理NicolePauls表示,面對大規(guī)模數據,信息技術官很困惑,不知道從哪里開始。
Dell Secure Works的反威脅部門運營和開發(fā)主管 Ben Feinstein表示,良好的安全日志分析主要圍繞4個原則。首先,企業(yè)需要監(jiān)控正確的日志,包括來自防火墻、虛擬專用網絡(VPN)設備、web代理服務器和DNS服務器的數據。接下來,安全團隊必須收集企業(yè)網絡內“正?!睌祿?。第三,分析師必須能夠識別其日志文件中表明存在攻擊的數據。最后,安全團隊必須有一個程序用于響應日志分析中確定的事件。
Feinstein表示,“如果你的安全團隊不知道可疑行為是什么樣子,那么把所有的日志都放到SIEM 系統(tǒng)里是沒有意義的?!备鶕踩珜<冶砻鳎髽I(yè)應該檢查下面5個類型的事件:
Active Directory域控制器的Windows安全日志和記錄是發(fā)現網絡中可疑活動的第一個位置。權限更改、用戶從遠程未知地點訪問,以及用戶訪問一個系統(tǒng)訪問另一個系統(tǒng),都可能是可疑活動。
惠普ArcSight公司產品營銷經歷Kathy Lam 表示,“當我們在看攻擊類型,以及攻擊者如何進入環(huán)境時,他們通常冒充用戶在網絡內潛伏數月,甚至超過一年,通過查看正常活動基準,以及當前活動與基準的對比,就能找出可疑活動?!?/p>
尤其重要的是特權賬戶,即在網絡中多個系統(tǒng)具有管理員權限的用戶。由于這些賬戶在網絡中擁有更多的權利,企業(yè)應該更密切地監(jiān)控這些賬戶。
公司還應該對比其日志中的數據與他們能夠獲得的威脅指標——無論是通過建立黑名單,還是更全面的威脅情報服務。
威脅指標可疑幫助企業(yè)識別防火墻、DNS服務器或者web代理服務器日志中可疑的IP地址、主機名稱、域名和惡意軟件簽名。他指出:“web代理服務器日志對網絡流量有著強大的可視性,即你的端點系統(tǒng)是如何連接到網絡的?!?/p>
獲取對系統(tǒng)的訪問的攻擊者通常會嘗試更改配置來進一步攻擊,以及在網絡中獲得立足點。Solar Winds 公司副總裁 Sanjay Castelino表示,由于大多數企業(yè)限制配置更改到每周、每月或者每季度的有限時間內,這些配置更改 (無論是打開系統(tǒng)還是關閉日志記錄功能)都可能表明攻擊正在進行中。
在某些情況下,這種分析可以幫助企業(yè)發(fā)現攻擊。用于管理安全產品的規(guī)則通常非常復雜,我們很難通過簡單的分析來檢查這些規(guī)則是否是惡意。相反地,安全團隊很容易標記出任何在特定維護期外的變更。
因為數據庫是企業(yè)基礎設施的重要部分,企業(yè)應該監(jiān)測數據庫傳輸情況來發(fā)現可疑活動。例如,試圖選擇和復制大范圍數據的請求應該得到密切關注。
此外,監(jiān)控數據庫通信是不夠的。雖然記錄數據傳輸情況可能會影響數據庫性能,但在調查數據泄漏事故時,這些記錄是非常有價值的。安全管理公司Solutionary的工程研究團隊研究主管Rob Kraus表示:“當客戶問我們哪些記錄被訪問了,我們可以證明哪些記錄沒有被訪問,足跡通常會牽引到數據庫。如果沒有記錄這些數據,這會帶來真正的挑戰(zhàn),你也說不清到底哪些記錄被動過。”
在移動設備和攜帶自己設備到工作場所趨勢出現之前,企業(yè)可以將任何連接到網絡的新的設備視為可疑對象。但現在,這已經不再是一個威脅指示。
企業(yè)應該鏈接設備到其用戶,并將變更視為可疑事件。他表示,“你可能想要標記設備,但你更應該將設備與用戶聯(lián)系在一起,因為如果我?guī)业钠桨咫娔X來上班,其他人不應該使用它來登錄。”