Intsidendi uurimiseks ei ole SIEMi vaja. Vaja on õigeid logisid, mis on sisse lülitatud, säilivad vähemalt kuus kuud, on kaitstud muutmise eest ja milles saab otsida ilma igasse masinasse eraldi sisse logimata.
Allpool toodud kuus kategooriat on meie enda rühmitus, mitte standard. Need paigutavad ümber kolm tabelit dokumendist NCSC introduction to logging for security purposes ning lisavad OWASP juhistest rakenduse logimise ja Microsofti dokumentatsioonist Microsoft 365 üksikasjad.
Alustage küsimustest
Valige logiallikad selle järgi, milliseid küsimusi teilt intsidendi esimestel tundidel küsitakse. NCSC sõnastab need laiemalt: mis juhtus, milline on mõju, mida teha edasi, kas lahendus toimis ja kas meie turvakontrollid töötavad. Tema tabelid jagavad need konkreetseteks küsimusteks, näiteks kes on logitud kaugühenduse kaudu sisse väljaspool tööaega või kas keegi on antud lingil klõpsanud. Kui te ei oska öelda, millist küsimust mingi logi teenindab, jääb see hilisemaks.
Minimaalne komplekt
| Allikas | Küsimus, millele see vastab | Kust see pärineb |
|---|---|---|
| Identiteet ja kaugjuurdepääs | Kes sisse logis, kust ja mis kellaajal? Kas internetile avatud teenustel oli ebaõnnestunud katseid? | Active Directory, LDAP, ADFS, VPN, remote desktopi ja VDI logid |
| E-post | Kes sai sellise kirja ja kes klõpsas lingil? | SMTP-serverid, MS Exchange, e-posti skaneerimisseadmed, pilveteenuse pakkuja API-d |
| Lõppseadmed ja serverid | Kas seda binaarfaili käivitati, kas see fail on olemas, kas hostis juhtus midagi kummalist? | Windows EVTX, Syslog, Microsoft Sysmon, hostiagendid |
| Tulemüür, DNS ja proxy | Kas mõni süsteem suhtleb kahtlase IP-aadressi või domeeniga? | Tulemüüri- või netflow logid, DNS-logid, veebiproksi logid |
| Veebiserver ja rakendus | Mida kasutaja tegi ja mis oli tulemus? | Rakenduse kood, veebiserver |
| Varad ja muudatused | Millisel seadmel see IP oli, mis muutus, kes selle serveri eest vastutab? | DHCP-, ruuteri-, tulemüüri- ja switchi logid, CMDB |
Mõned detailid mõjutavad seda, mida koguda. Tulemüüri puhul ütleb NCSC, et kogutud logid peaksid arvestama Network Address Translationiga, et salvestataks nii sisemine kui ka väline IP. DNS-logid näitavad domeeni, millel kasutaja klõpsas, kuid mitte täielikku URL-i, seega käsitlege neid nõrgema asendajana, kui teil veebiproksit ei ole.
Hostiagendid, sealhulgas tasuta Microsoft Sysmon, oskavad anda protsessiteavet, DNS-päringute sündmusi, failisüsteemi muudatusi ja failide räsisid. Nad katavad ainult neid seadmeid, kuhu keegi on need paigaldanud ja seadistanud, mistõttu varjuIT, võrguseadmed, toetuseta operatsioonisüsteemid ja hostid, kus pahavara on agendi välja lülitanud, jäävad pimealasse.
Veebiserveri logid ei ole rakenduse logimine. Rakendus teab kasutaja identiteeti, rolle ja toimingu tulemust, infrastruktuuriseadmed sageli mitte.
Microsoft 365
Kui kasutate Microsoft 365, vaadake enne mis tahes ostu üle Microsoft Purview. Audit (Standard) on sobiva tellimusega organisatsioonidel vaikimisi sisse lülitatud. Otsinguõigused tuleb siiski ise määrata, kas Purview portaalis või Exchange Online PowerShellis cmdletiga Search-UnifiedAuditLog.
Standard säilitab kirjeid 180 päeva. Enne 17. oktoobrit 2023 loodud kirjeid säilitati vaid 90 päeva. Audit (Premium) säilitab Microsoft Entra ID, Exchange'i, OneDrive'i ja SharePointi kirjeid vaikimisi ühe aasta.
Premium annab ka omaduse SensitivityLabel Exchange Online'i tegevusele MailItemsAccessed. Kasutajatel on vaja Premium-litsentsi, et süsteem neid sündmusi genereeriks, seega lahendage litsentsimine enne intsidenti.
Säilitamine ja kaitse
NCSC soovitab logide puhul, mis vastavad teie intsidendiküsimustele, vähemalt 6 kuud. Ta lisab, et M-Trends 2018 andmetel oli keskmine avastamisaeg 101 päeva, seega säilitage kauem, kui eelarve võimaldab.
Kohalikud logid võivad sellest märkamatult jääda lühemaks. Avage iga logi ja lugege vanima kirje kuupäev. Kui see on kuuest kuust noorem, võib logi olla liiga väike või liiga hõivatud, et teie eesmärki täita, seega kontrollige ka seadistatud suurust või säilitusseadet.
Igaühel, kes süsteemi sisse murrab, on põhjust logisid muuta, seega pöörake logimisteenusele sama palju tähelepanu kui mis tahes admin-liidesele. Küsige, kes saab logisid lugeda, kes saab neisse kirjutada ja kas te märkaksite muudatust. OWASP annab rakenduse logide jaoks konkreetseid meetmeid:
- Hoidke failipõhised logid operatsioonisüsteemist ja kasutajate loodud sisust eraldi partitsioonil, kataloogidel ja failidel ranged õigused.
- Hoidke logid veebist ligipääsetavatest asukohtadest eemal. Kui seda ei saa vältida, piirake ligipääsu ja serveerige neid lihttekstina, mitte HTML-ina.
- Andmebaasi logimisel kasutage kontot, mida kasutatakse ainult logiandmete kirjutamiseks ja millel on väga piiravad õigused.
- Kasutage standardset sündmuseformaati üle turvalise transpordi, näiteks syslog-sõnumi formaati üle TLS-i.
Koondage ainult seal, kus see end ära tasub
NCSC peab tsentraliseeritud ja detsentraliseeritud logimist päris valikuks. Keskne hoidla tähendab, et uurimise ajal ei pea te masinaid ükshaaval läbi käima, ning see muutub iga lisatud allikaga kasulikumaks. Logide jätmine kohale sobib siis, kui neis saab juba otsida ja neid hoitakse piisavalt kaua. NCSC toob näiteks pilvepõhised e-posti teenused, kus väljavõtmine harva õigustab kulu.
Väikese meeskonna jaoks on mõistlik jaotus see, et koondate lõppseadmete, serverite, tulemüüri ja VPN-i logid ning jätate hästi teenindatud pilveteenused sinna, kus nad on. Windowsis saadab Windows Event Forwarding logid klientidelt turvaliselt keskhoidlasse.
NCSC hoiatab ka, et detsentraliseeritud mudel võib aja jooksul vaikselt laguneda. Andke kellelegi korduv ülesanne kontrollida, et iga allikas toodab endiselt logisid, ja kirjutage üles, kes see on.
Kust alustada
- Võtke NCSC tabelitest konkreetsed küsimused, näiteks kes logis sisse kaugühendusega väljaspool tööaega või kas keegi on sellel lingil klõpsanud. Nimetage iga küsimuse jaoks süsteem, mis sellele vastaks.
- Pange iga allika kohta kirja, kus see on salvestatud, kui kaua seda hoitakse ning kes seda lugeda või muuta saab. Tõstke esile kõik, mis jääb alla kuue kuu.
- Kontrollige vaikeseadeid. Kui allikas logib minimaalselt, muutke seadistust, et koguda rohkem. Microsoft 365-s veenduge, et Audit on sees, ja määrake otsinguõigused.
- Suunake lõppseadmete, serverite, tulemüüri ja VPN-i logid ühte hoidlasse, kuhu kirjutamine on piiratud, kasutades Windows Event Forwardingut või syslogi üle TLS-i.
- Tehke õppus: valige kahtlane IP-aadress ja andmepüügikirja teema ning proovige küsimustele vastata ainult logide põhjal. Parandage esimesena see allikas, kus te kinni jäite.
- Kui te ei saa õppust ise läbi viia, paluge abi intsidentidele reageerimise meeskonnalt või hallatud turvateenuse pakkujalt.
