Do zbadania incydentu nie potrzebujesz SIEM-a. Potrzebujesz właściwych logów, które są włączone, przechowywane co najmniej sześć miesięcy, chronione przed manipulacją i przeszukiwalne bez logowania się na każdą maszynę osobno.
Sześć poniższych kategorii to nasz własny podział, a nie standard. Porządkuje on na nowo trzy tabele z wprowadzenia NCSC do logowania na potrzeby bezpieczeństwa, dodaje logowanie aplikacyjne z wytycznych OWASP oraz szczegóły dotyczące Microsoft 365 z dokumentacji Microsoftu.
Zacznij od pytań
Źródła logów wybieraj na podstawie pytań, które padną w pierwszych godzinach incydentu. NCSC formułuje je szeroko: co się stało, jaki jest wpływ, co robić dalej, czy remediacja zadziałała i czy nasze zabezpieczenia działają. Jego tabele rozbijają je na konkretne pytania, na przykład kto logował się zdalnie poza godzinami pracy albo czy ktokolwiek kliknął dany link. Jeśli nie umiesz powiedzieć, któremu pytaniu służy dany log, zajmij się nim później.
Minimalny zestaw
| Źródło | Na jakie pytanie odpowiada | Skąd pochodzi |
|---|---|---|
| Tożsamość i dostęp zdalny | Kto się zalogował, skąd i o której? Czy były nieudane próby na usługach wystawionych do internetu? | Logi Active Directory, LDAP, ADFS, VPN, pulpitu zdalnego i VDI |
| Poczta | Kto dostał wiadomość podobną do tej i kto kliknął w link? | Serwery SMTP, MS Exchange, urządzenia skanujące pocztę, API dostawców chmury |
| Endpointy i serwery | Czy ten plik binarny został uruchomiony, czy ten plik istnieje, czy na hoście wydarzyło się coś dziwnego? | Windows EVTX, Syslog, Microsoft Sysmon, agenty hostowe |
| Firewall, DNS i proxy | Czy jakiś system komunikuje się z podejrzanym adresem IP lub domeną? | Logi firewalla lub netflow, logi DNS, logi proxy WWW |
| Serwer WWW i aplikacja | Co zrobił użytkownik i jaki był wynik? | Kod aplikacji, serwer WWW |
| Zasoby i zmiany | Które urządzenie miało ten adres IP, co się zmieniło, kto jest właścicielem tego serwera? | Logi DHCP, routerów, firewalli i przełączników, CMDB |
Niektóre szczegóły wpływają na to, co zbierasz. Na firewallu, jak zaznacza NCSC, zapisywane logi powinny uwzględniać Network Address Translation, tak aby rejestrować zarówno wewnętrzny, jak i zewnętrzny adres IP. Logi DNS pokazują domenę, w którą kliknął użytkownik, ale nie pełny adres URL, więc traktuj je jako słabszy zamiennik tam, gdzie nie masz proxy WWW.
Agenty hostowe, w tym darmowy Microsoft Sysmon, potrafią dostarczać informacje o procesach, zdarzenia wyszukiwań DNS, zmiany w systemie plików i hashe plików. Obejmują jednak tylko te systemy, na których ktoś je zainstalował i skonfigurował, więc shadow IT, urządzenia sieciowe, nieobsługiwane systemy operacyjne i hosty, na których malware wyłączył agenta, pozostają poza zasięgiem.
Logi serwera WWW to nie to samo co logowanie aplikacyjne. Aplikacja zna tożsamość użytkownika, jego role i wynik wykonanej akcji, a urządzenia infrastrukturalne często tego nie wiedzą.
Microsoft 365
Jeśli używasz Microsoft 365, zanim cokolwiek kupisz, sprawdź Microsoft Purview. Audit (Standard) jest domyślnie włączony w organizacjach z odpowiednią subskrypcją. Nadal musisz jednak nadać uprawnienia do jego przeszukiwania, w portalu Purview lub za pomocą cmdletu Search-UnifiedAuditLog w Exchange Online PowerShell.
Standard przechowuje rekordy przez 180 dni. Rekordy wygenerowane przed 17 października 2023 roku były przechowywane tylko przez 90 dni. Audit (Premium) domyślnie przechowuje rekordy Microsoft Entra ID, Exchange, OneDrive i SharePoint przez rok.
Premium udostępnia też właściwość SensitivityLabel w aktywności MailItemsAccessed w Exchange Online. Aby system generował te zdarzenia, użytkownicy potrzebują licencji Premium, więc kwestię licencji rozstrzygnij przed incydentem.
Retencja i ochrona
NCSC zaleca minimum 6 miesięcy dla logów, które odpowiadają na Twoje pytania incydentowe. Dodaje, że według M-Trends 2018 średni czas wykrycia wynosił 101 dni, więc jeśli budżet na to pozwala, przechowuj dłużej.
Lokalne logi mogą nie spełniać tego wymogu, a nikt tego nie zauważy. Otwórz każdy z nich i sprawdź datę najstarszego wpisu. Jeśli jest młodsza niż sześć miesięcy, log może być zbyt mały lub zbyt intensywnie zapisywany, by osiągnąć Twój cel, więc sprawdź też skonfigurowany rozmiar lub ustawienie retencji.
Każdy, kto się włamie, ma powód, by zmienić logi, dlatego otocz usługę logowania taką samą opieką jak każdy interfejs administracyjny. Zadaj sobie pytania: kto może czytać logi, kto może do nich zapisywać i czy zauważysz zmianę. OWASP podaje konkretne środki dla logów aplikacyjnych:
- Umieść logi plikowe na osobnej partycji niż system operacyjny i treści generowane przez użytkowników, z restrykcyjnymi uprawnieniami do katalogów i plików.
- Nie trzymaj logów w lokalizacjach dostępnych z poziomu WWW. Jeśli nie da się tego uniknąć, ogranicz dostęp i serwuj je jako zwykły tekst, a nie HTML.
- Przy logowaniu do bazy danych używaj konta wykorzystywanego wyłącznie do zapisu danych logów, z bardzo restrykcyjnymi uprawnieniami.
- Stosuj standardowy format zdarzeń i bezpieczny transport, na przykład format wiadomości syslog przez TLS.
Centralizuj tylko tam, gdzie się to opłaca
NCSC traktuje logowanie scentralizowane i zdecentralizowane jako realny wybór. Centralny magazyn oznacza, że podczas dochodzenia nie odwiedzasz każdej maszyny, a z każdym dodanym źródłem staje się bardziej użyteczny. Pozostawienie logów na miejscu sprawdza się wtedy, gdy da się je już przeszukiwać i są przechowywane dostatecznie długo. Przykładem NCSC są chmurowe usługi pocztowe, w których wyciąganie logów rzadko uzasadnia koszt.
W małym zespole rozsądny podział to scentralizowanie logów z endpointów, serwerów, firewalla i VPN oraz pozostawienie na miejscu dobrze obsługiwanych usług chmurowych. W systemie Windows Windows Event Forwarding bezpiecznie przesyła logi z klientów do centralnego magazynu.
NCSC ostrzega również, że model zdecentralizowany może z czasem się degradować. Powierz komuś cykliczne zadanie sprawdzania, czy każde źródło nadal produkuje logi, i zapisz, kto to jest.
Od czego zacząć
- Weź konkretne pytania z tabel NCSC, na przykład kto logował się zdalnie poza godzinami pracy albo czy ktoś kliknął ten link. Dla każdego wskaż system, który na nie odpowie.
- Dla każdego źródła zapisz, gdzie jest przechowywane, jak długo i kto może je czytać lub zmieniać. Zgłoś wszystko, co jest krótsze niż sześć miesięcy.
- Sprawdź ustawienia domyślne. Jeśli źródło loguje minimum szczegółów, zmień konfigurację, aby zbierało więcej. W Microsoft 365 potwierdź, że Audit jest włączony, i nadaj uprawnienia do wyszukiwania.
- Przekieruj logi z endpointów, serwerów, firewalla i VPN do jednego magazynu z ograniczonym dostępem do zapisu, używając Windows Event Forwarding lub syslog przez TLS.
- Zrób ćwiczenie: wybierz podejrzany adres IP i temat wiadomości phishingowej i spróbuj odpowiedzieć na pytania wyłącznie na podstawie logów. Najpierw popraw źródło, na którym utknąłeś.
- Jeśli nie możesz przeprowadzić ćwiczenia we własnym zakresie, poproś o pomoc zespół reagowania na incydenty lub dostawcę usług zarządzanego bezpieczeństwa.
