事件管理 on 資安見聞錄

[Q&A] Log日誌管理的安全議題

Fri, 01 Jul 2011 07:52:00 +0000

最近，網管人雜誌的媒體朋友，和我聊了幾個有關日誌管理的問題，以下將我的回覆，分享給大家作為參考囉~

Q. 系統日誌普遍存在於各個IT基礎設備中，伺服器、防火牆與入侵偵測系統、路由器、閘道器、資料庫，在在都有些事件日誌的設計以便讓企業能夠即時除錯，為何這些過去早已存在的日誌無法企業遵循個人資料保護法的需求？過去的系統日誌欠缺那些元素？

A. 就個人的觀察，一般IT人員對於log的處理態度有以下幾種：

不清楚系統和設備到底有沒有log，所以沒有特別去保存，而且就算有log功能也不想啟動，擔心會影響效能。

知道系統和設備有log，但是散布在各個系統和設備上，只採用其預設的機制，當有問題發生時，再進個別的系統或設備去查詢。

知道系統和設備有log，也建立了簡單的Log server(如syslog)進行蒐集，但因採用明碼傳輸，缺少安全的控管機制，也沒有適當的工具可快速進行彙整調閱和分析。

已添購了log產品設備，利用它來蒐集與儲存log，但是在管理方面仍缺乏相關政策和作業辦法，例如該蒐集哪些重要的log、如何進行分析、儲存的週期是多久、是否有安全控管機制等。

因此，過去的系統日誌管理主要所欠缺的元素有：

認知問題 - IT人員缺少對於日誌管理的概念，因此不知道有哪些重要的log，也不知該如何著手。
缺乏工具 - 雖然有進行集中保存，但因缺乏適當的管理工具，讓日誌無法進一步作為IT營運、資安防護的參考。
管理政策 - 雖然已添購設備進行日誌管理，但並沒有制定管理政策和作業辦法，相關的日誌可能保存的不夠完整，也無法作為法規因應的證明。

Q. 企業針對日誌管理應該以核心應用服務為主還是該全面化？

A. 對一般企業而言，建議其日誌管理可先從業務相關或核心應用服務著手，例如電子商務業的線上交易日誌、醫療業的醫療資訊系統日誌、服務業的客服系統日誌等。另外，為了未來因應個資法，只要是和個資蒐集、處理和利用等相關系統，也會是日誌管理的重點，因此，可先從重要的部份開始，未來再逐步跨大到整個IT營運資訊的匯整。

Q. 從企業的角度來看，做好日誌管理應該從那些面向著手？

A. 企業想要作好日誌管理，建議可從三個面向來著手：

人員訓練 - 相關人員是否已具備日誌管理的認知與安全概念，明白哪些日誌是重要的，以及是否有能力可進行日誌的蒐集、分析等。
作業流程 - 內部是否已制訂了日誌管理辦法，明確界定日誌需要蒐集的範圍、儲存方式、存取權限、安全機制等。
適當工具 - 隨著組織架構和系統設備的多寡，企業是否提供IT人員適當的工具，可協助進行日誌保存、分析調閱、產生報表等相關工作。

Q. 一項好的日誌管理方案又該具備那些要項？

A. 一項好的日誌方案需要具備以下要點：

蒐集能力 - 是否支援廣泛的系統、網路、資安等相關設備的日誌格式；是否可採取客製化方式，蒐集企業自行開發的應用系統或其他少見設備的日誌；是否可完整的蒐集日誌資訊，並且減少對系統效能的影響等。
儲存能力 - 是否可有效保存原始的日誌資訊；是否可正規化(Normalise)日誌資訊以便進行彙整分析；是否有足夠的儲存能力，甚至可更進一步支援資安事件管理(SIEM)或SOC(資安營運中心)的需要。
調閱能力 - 是否可迅速進行日誌蒐尋、報表分析，以符合法規和稽核(Audit Trail)的要求。
安全機制 - 是否採用安全的傳輸方式進行蒐集；是否有良好的存取控制或儲存加密技術，可避免日誌受到不當的竄改。

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Tony（2011-07-13）

Dear 傑克, 您好，請教您關於日誌報表是否有明確的法規(個資法或ISO27001)規定要有哪些報表才符合呢?煩請抽空賜教，感謝!

傑克小花（2011-07-14）

Hi Tony, 感謝您的提問，關於日誌報表的格式，並沒有法規要求一定要有哪些內容才行，但是以導入ISO 27001的組織為例，管理人員通常會想要了解所實施的資安控制措施，是否能夠符合標準中133項控制措施的要求。因此，許多的資安設備在報表功能方面，會強調可以產出符合ISO 27001的報表，主要就是在內容方面能針對標準的控管要求項目，與目前的實施現況加以對應呈現，以方便管理者可以迅速掌握。

[分享] 資安事件管理(SIEM)的魔術象限

Wed, 01 Jun 2011 04:14:00 +0000

談到Gartner的Magic Quadrant(魔術象限)，它是Garther在特定的時間內，對於市場和使用者的體驗，所作出的分析結果，也一向是被許多廠商用來證明自己的產品，已在市場中佔有一席之地。

基本上，它只是一項研究報告，不代表落在象限內的產品就一定是好的產品，但個人認為Gartner對於市場現況的描述和針對各家產品的優缺點分析，是相當適合用來作為在選購產品時的評估和明列相關規格時的參考。

過去，我曾經提到IT Log管理的重要性(請參考「從記錄分析談IT Log管理」一文)，而它其實也就是所謂資安事件管理(SIEM)的基礎，依據Gartner的定義，SIEM的技術可以提供：

安全資訊管理(Security Information Management；SIM) - 可用來進行log管理和法規報告。

安全事件管理(Security event management；SEM) - 可針對來自於網路、資安設備、系統和應用程式，進行和安全有關的事件即時(real-time)監控，以及事故的管理。

而在組織之中會想要部署SIEM的技術，則是為了達到以下目的：

法規遵循 - 對應到剛才提到的安全資訊管理，提供法規要求的相關報告。
威脅管理 - 即時監控使用者的行為、資料存取和應用程式的相關活動，以及事故管理。
兩者皆是 - 可提供法規報告，也同時具備威脅管理的能力。

在國內現況方面，SIEM的需求，主要來自於政府所建構的國家資通安全防護管理中心(NSOC)，需要進行資安事件的監控與資料交換；而民間企業，則有提供資安監控服務的安全管理服務供應商(MSSP)，所建置的資安監控中心(Security Operating Center；SOC)，兩者是早期採用的先行者。

當然，目前也有許多大型企業或高科技製造業，也會採購相關的設備與技術，來提升本身的資安防護能力，至於對中小型企業而言，為了因應未來個資法或導入ISO 27001標準的要求，則建議還是先從作好Log管理開始。

[參考資料] Magic Quadrant for Security Information and Event Management (12 May 2011)

[觀點] 從記錄收集分析談IT Log管理

Wed, 04 Nov 2009 15:41:00 +0000

在現今的資訊系統和網路環境裡，Log幾乎無所不在，無論是在作業系統、應用系統和資料庫中，還是網路設備如router、switch，或是常見的資安設備像是入侵偵測系統、防火牆、防毒系統等，每天都會產生大量的Log資料，留下了系統與設備運作的各項記錄。

根據SANS機構針對全球2000大公司的調查顯示，驅使企業收集Log的前三項原因，第一是為了要偵測和分析與資安或效能有關的事件；其次則是想藉由IT控制和產生報表來預防系統的濫用，並提供法律上的鑑證；第三則是為了遵循像是沙賓法案、PCI資料安全標準、GLBA和HIPPA等法規的要求。

除了以上原因之外，像是協助評估和IT相關的事件，以減少可能的停機時間；或是需要去收集、分析、警示和歸檔與網路相關的資料，這些也是企業收集Log的原因。

Log收集保存的重要性

到底什麼是Log？其實Log就是資訊系統或設備在連線和運作時所產生的記錄。俗話說：「凡走過必留下痕跡」，藉由Log的收集和分析過程，可以讓IT人員能夠監控系統的運作狀態，並且判斷可能發生的事件，以及分析資料存取行為和使用者的作業活動。

換句話說，藉由Log的詳實記錄，可以幫助我們了解在企業的IT環境裡，究竟發生了什麼事，例如網路是否遭到惡意的嘗試入侵？系統和網路運作是否有異常情況發生？通常IT人員只要針對Log進行主動監控，就可以判斷可能的問題，或是在狀況未明時，透過Log的查詢分析，也能夠在很短的時間內找出原因。

從法規的觀點來看，Log管理更應視為IT營運策略中的一環，企業為了要遵守法規對營運和財務資訊的各項要求，Log的保存即顯得非常重要，尤其是它提供了稽核軌跡，讓稽核人員能透過對於Log的查驗，來確認企業的內部控制是否符合法規要求。如果萬一不幸發生了舞弊事件，Log也可以成為事件追蹤的管道，除了能釐清事件的發生過程，甚至可成為法庭上的證據，所以對於需遵循法規的企業，Log管理已經是必須要去落實的工作。

大量Log所產生的問題

隨著企業的規模和資訊系統與設備的增長，首先會面臨的問題就是眾多不同的設備和應用系統，產生了不同格式的Log，到底該如何去收集？而每天不斷產生的Log資料，一旦資料量超出人力可以判讀的範圍，又缺少適當的管理工具，對IT人員來說，反而會變成一種負擔。

過去，對於Log的管理方式，大多限制在單一的設備上，以防火牆為例，IT人員只能在單一介面上進行Log的查詢。不過，隨著混合式攻擊手法的普遍，只從單一的設備上，很難解讀出對於攻擊手法有效的判斷資訊，所以必須要透過不同的設備之間，利用時間或IP位址作關聯性的比對，才有辦法找出其中隱含的真相。

但是，如果要做到不同設備之間的Log分析，勢必就要針對Log進行集中式儲存與正規化處理，可是不同廠牌的資訊設備，產生的Log都分散在各地，即使能夠集中收集，隨著大量且不斷湧入的資料，到底該如何進行分類？資料要如何保存？如何查詢利用？這些都形成了管理上必須要面對的問題。

傳統Log管理的作法

基本上，針對Log的收集有二種作法，一種是讓設備自己將資料傳送到Log Server中，另一種則是讓Log Server定期自動地到各個設備去收集資料。不過，在某些應用系統上有時會很難運作，幸運的話，可能只需要安裝代理程式(Agent)，就可以協助收集到所需要的資料，但若不幸的話，一些委外開發的應用系統，甚至連產生Log的作法都沒有。

目前，Syslog是普遍被應用的Log server架構，但也有一些作業系統並沒有支援它，需要透過額外的工具來進行資料轉換才行。此外，Syslog的缺點是當網路傳輸流量大的時候，部份資料可能會因此而遺失，再加上預設的Syslog流量本身是沒有加密的，並且使用UDP通訊協定來進行溝通，在過程中很容易被假冒的訊息來攻擊。而除了Syslog，SNMP trap也是用來傳遞資料給Log Server的一種常見的方法，但SNMP一樣在傳輸過程中沒有加密，所以也容易遭到偽冒攻擊。

Log管理方面的建議

SANS機構的調查報告指出，在Log資料方面，最讓IT人員感到頭痛的地方，依序是收集資料、搜尋資料和產出報表。因此，在Log管理方面，有以下幾點建議，可做為IT人員的參考：

擬定適當的管理政策 - 在文件化的政策之中，首先應說明到底有哪些人需要存取Log資訊？通常可能會包括IT、稽核或法務人員；接著，必須決定哪些是重要的系統和設備，要如何去收集不同格式的Log資料；然後，還要定義哪些事件是需要優先監控和分析的，以Windows作業系統為例，需要留意的Log記錄可能會有：帳號登入失敗、帳號鎖定、建立了新帳號、使用者帳號狀態變更、修改安全群組、修改安全記錄、政策變更等。

選擇適合的收集方式 - 請先進行企業的網路環境分析，再決定收集資料的方法，若要採取集中化方式進行，就需要特定的Log server來處理，但是要注意當大量Log資料傳輸時，可能會造成的網路壅塞情況。另外，Log server本身也需要進行系統安全強化，以避免受到攻擊而失效。

應用適當的分析工具 - 大量的Log資料需要被分類、組織和搜尋，但是設備所內建的工具方面有時不是那麼容易使用，因此應選擇適當的整合式Log管理工具，並且測試確認是否能快速查詢分析，並產出符合法規或清晰易懂的報表，以滿足經營階層的需求。

選擇適當的儲存方式 - 許多法規都要求Log必須保存一定的年限，以PCI資料安全標準為例，它要求企業需針對Log資料進行審查，並至少保存一年以上，因此Log資料的儲存與查詢，會是能否符合稽核時的重點。在國外的訴訟方面，Log有可能也會成為法庭上的證據，因此必須要確保資料的完整性，在歸檔與查詢時應避免修改原始資料，另外也可考慮加密儲存，以避免資料遭到竄改，並將儲存Log的媒體，放置在安全的地點。

時間同步是重要關鍵 - 在Log管理之中，還有一個非常重要的地方，那就是必須確保各系統與設備時間的一致性，如果因為記錄的時間不同，在進行分析時，各個設備的Log資料即無法串連，甚至可能會誤導在問題處理時的方向，因此最好在企業內部架設一部Time server，以便所有設備可以進行時間同步。

最後，在本文所談到的Log管理和所謂的資安事件管理(SIEM)，兩者之間還是有些不同，Log管理可說是資安事件管理的基礎，主要著重在Log的收集、分析、儲存與查詢，以解決IT運作問題與法規稽核的要求。至於SIEM則著重在從Log之中，進行即時的關聯性分析，以識別出可能的資安威脅攻擊，同時還可發出警示，並進入後續的資安事件處理流程，這也是目前所謂資安營運中心(SOC)的主要運作模式。(本文刊載於2008年11月號網管人雜誌)