在本课中,
我们将重点关注监控和审计｡
让我们先从监控开始｡
当我们谈论监控时,
安全分析师的主要工作之一就是监控网络｡
我们就像侦探｡
我们试图根除任何看起来不太正确的东西,
这可以手动或通过自动化手段完成｡
现在, syslog是一种协议, 用于使不同的设备和软件应用程序能够将其日志或事件记录传输到集中式服务器｡
现在, 系统日志将遵循标准的客户机服务器模型｡
这是记录网络上分布式系统事件的事实标准｡
您将看到系统日志在您日常工作的许多系统中使用｡
现在, 系统日志运行在大多数操作系统和大多数网络设备上｡
因此, 无论您使用的是Cisco路由器,
还是Windows机器或Linux服务器, 它们都可以使用系统日志｡
现在, 当我们发送回这些消息时,
系统日志消息是什么样子的？
系统日志消息将包含几个内容｡
它包含一个PRI代码, 这是一个优先级代码｡
它包含一个头, 它包含一个消息部分｡
让我们来谈谈每一个｡
首先, 我们有这个PRI代码, 这个优先级,
这将根据设施和数据的严重性级别进行计算｡
接下来, 我们有一个头,
头将包含事件的时间戳和主机名｡
所以我们知道它是从哪里来的以及时间｡
最后, 我们有消息部分, 它包含事件的源过程和相关内容,
基本上是发生了什么数据, 你想告诉我们什么？
这就是这里的信息部分的想法｡
这是这条信息的核心｡
现在, 当我们处理系统日志时,
它在原始版本中有几个缺点｡
最初的协议依赖于UDP｡
现在, 这可能会导致拥塞网络的传输问题,
因为UDP是一种火灾和遗忘协议｡
它发送它, 不等待响应和确认｡
所以它只是假设它到达那里｡
如果你有一个拥挤的网络,
你可以有数据被丢弃,
因此你的信息不会到达日志服务器,
也不会被记录｡
在早期, 这可能是好的, 因为人们认为你的网络上的每个人都是值得信赖的,
但现在我们不希望这样｡
我们希望确保我们的数据到达那里｡
所以我们得想个解决办法｡
第二件事是, 没有太多的基本安全控制｡
系统日志默认情况下不包含任何加密或身份验证之类的功能｡
这又是另一个缺点｡
所以在系统日志的现代实现中, 我们已经纠正了这些事情｡
由于这些安全问题,
我们的新系统日志实现增加了许多不同的特性和功能｡
我们将在这里讨论其中的几个｡
首先, 较新的实现使用TCP来实现一致的传输｡
这样, 如果网络拥塞, 消息无法到达那里,
它将一遍又一遍地重新传递它, 因为它使用TCP｡
第二个改进是更新的实现,
可以使用TLS或传输层安全性来加密发送到服务器的消息｡
这样传输中的数据就不能被网络上的其他人读取｡
它只能被发送它的端点和接收它的服务器读取｡
第三件事是,
较新的实现也使用MD5和SHA1来提供身份验证和完整性｡
通过这种方式, 消息可以在通过网络时具有消息身份验证和完整性,
以确保它们不会被其他任何人弄乱｡
再一次, 还有很多其他的功能｡
我并没有过多地关注这一集, 因为我们真正关心的三大问题是我们已经转向TCP以实现一致的交付｡
我们已经转向TLS进行加密,
并开始使用MD5和SHA1进行身份验证和完整性｡
现在, 这个较新版本的服务器通常被称为sysystem-ng,
即syslog next generation或rsyslog｡
关于syslog, 我想提的最后一件事是,
syslog通常意味着三件事｡
它可以参考我们发送数据的协议｡
它可以像在系统日志服务器中那样引用服务器,
也可以像在系统日志数据中那样引用日志条目本身｡
人们通常只会说系统日志, 他们指的是所有三个,
或者这三个中的任何一个, 这取决于上下文｡
因此, 当您听到业内人士谈论SNMP时,
请务必小心, 以确保您了解他们谈论的三个SNMP中的哪一个是我们的下一个｡
SNMP是简单网络管理协议｡
它是一种TCP协议, 有助于监控网络连接的设备和计算机｡
SNMP被广泛应用于网络管理和监控系统中,
在管理和监控的概念中得到了广泛的应用｡
SNMP分为三个部分｡
有被管理的设备､ 代理和网络管理系统本身｡
我们谈论托管设备｡
这是通过网络管理系统使用代理进行监控的计算机和其他网络连接设备｡
代理是加载到托管设备上的软件｡
这使我们能够将信息重定向到将要进行监控的网络管理系统｡
网络管理系统（NMS）是在一个或多个服务器上运行的软件,
它控制对网络上所有网络连接设备和计算机的监控｡
SNMP是一种粘合剂, 使用SNMP协议使这三者相互通信｡
那么, 在网络内部, 这一切看起来是什么样的呢？
在屏幕上, 你可以看到一个简单的图表｡
左边是我们的网络管理站或NMS,
它是我们网络管理系统的一部分｡
这将充当我们的管理器,
它将发送和接收消息到网络上的所有受管理设备,
您的路由器, 交换机和服务器,
对吗？
现在, 当它需要信息时,
它将发送一个get请求,
然后这些设备将使用set请求发回信息｡
现在还有一种叫做陷阱请求的东西,
它将从那些管理设备接收未经请求的信息, 这些管理设备只是定期发送所需的信息｡
因此, 当您使用SNMP进行所有这些网络管理时,
您有两个选项可以发送数据｡
你可以通过你正在使用的网络发送,
这被称为带内通信, 或者你可以带外发送｡
现在, 当您进行带内传输时,
这意味着您将通过承载公司信息和正常数据的同一网络发送此管理数据｡
这更便宜, 更容易, 但它不太安全｡
现在为了更安全,
您应该创建带外网络｡
这是一个辅助网络, 所有管理都在这里进行,
但您仍然拥有一个主要的带内网络, 用户将获得的所有数据都将在这里进行｡
管理应始终在带外网络上进行,
因为它提高了安全性, 并将管理功能从用户可以触摸或看到的地方带走｡