-: ในบทเรียนนี้
เราจะมุ่งเน้นไปที่การติดตามและตรวจสอบ
เริ่มจากการตรวจสอบก่อน
เมื่อเราพูดถึงการตรวจสอบ งานหลักอย่างหนึ่งของนักวิเคราะห์ความปลอดภัยคือการตรวจสอบเครือข่าย
เราเป็นเหมือนนักสืบ
เรากำลังพยายามกำจัดสิ่งที่ดูไม่ถูกต้องออกไป
และสามารถทำได้ด้วยตนเองหรือด้วยวิธีอัตโนมัติ
ขณะนี้ syslog เป็นโปรโตคอลสำหรับการเปิดใช้งานอุปกรณ์และแอปพลิเคชันซอฟต์แวร์ต่างๆ
เพื่อส่งบันทึกหรือบันทึกเหตุการณ์ไปยังเซิร์ฟเวอร์ส่วนกลาง
ตอนนี้ syslog กำลังจะทำตามโมเดลเซิร์ฟเวอร์ไคลเอนต์มาตรฐาน
และนี่คือมาตรฐาน defacto สำหรับการบันทึกเหตุการณ์จากระบบแบบกระจายทั่วทั้งเครือข่าย
คุณจะเห็น syslog ใช้งานอยู่ในระบบมากมายที่คุณจะใช้งานในแต่ละวัน
ขณะนี้ syslog ทำงานบนระบบปฏิบัติการส่วนใหญ่และอุปกรณ์เครือข่ายส่วนใหญ่
ดังนั้นไม่ว่าคุณจะใช้เราเตอร์ Cisco หรือใช้เครื่องที่ใช้
Windows หรือเซิร์ฟเวอร์ Linux ทั้งหมดก็สามารถใช้
syslog ได้
เมื่อเราส่งข้อความเหล่านี้กลับ
ข้อความ syslog มีลักษณะอย่างไร
ข้อความ syslog จะมีสองสิ่ง
ประกอบด้วยรหัส PRI ซึ่งเป็นรหัสลำดับความสำคัญ
ประกอบด้วยส่วนหัวและมีส่วนข้อความ
เรามาพูดถึงแต่ละข้อกัน
อันดับแรก เรามีรหัส PRI นี้ ลำดับความสำคัญนี้
และจะคำนวณตามสิ่งอำนวยความสะดวกและระดับความรุนแรงของข้อมูล
ต่อไป เรามีส่วนหัวและส่วนหัวจะมีการประทับเวลาของเหตุการณ์และชื่อโฮสต์
ดังนั้นเราจึงรู้ว่ามันมาจากไหนและเวลาเท่าไหร่
และสุดท้าย เรามีส่วนของข้อความซึ่งมีกระบวนการแหล่งที่มาของเหตุการณ์และเนื้อหาที่เกี่ยวข้อง
โดยพื้นฐานแล้วข้อมูลใดที่เกิดขึ้นและคุณต้องการบอกเราเกี่ยวกับอะไร
และนั่นคือแนวคิดในส่วนข้อความ
นี่คือเนื้อและมันฝรั่งของข้อความนี้
ตอนนี้ เมื่อเราจัดการกับ
syslog มีข้อบกพร่องเล็กน้อยในเวอร์ชันดั้งเดิม
โปรโตคอลเดิมใช้ UDP
ขณะนี้สิ่งนี้อาจทำให้เกิดปัญหาในการจัดส่งกับเครือข่ายที่คับคั่ง
เนื่องจาก UDP เป็นโปรโตคอลที่หยุดทำงานและลืม
มันส่งไปและไม่รอการตอบกลับและรับทราบ
และมันก็แค่ถือว่ามันไปถึงที่นั่นแล้ว
หากคุณมีเครือข่ายที่คับคั่ง
คุณอาจมีข้อมูลหลุด ดังนั้นข้อมูลของคุณจะไม่ไปถึงเซิร์ฟเวอร์บันทึกและไม่ถูกบันทึก
ในช่วงแรกอาจไม่เป็นไร เพราะผู้คนคิดว่าทุกคนในเครือข่ายของคุณไว้ใจได้
แต่ทุกวันนี้เราไม่ต้องการเช่นนั้น
เราต้องการให้แน่ใจว่าข้อมูลของเราไปถึงที่นั่น
ดังนั้นเราจะต้องหาทางออกสำหรับเรื่องนี้
ประการที่สองคือไม่มีการควบคุมความปลอดภัยขั้นพื้นฐานมากนัก
ไม่มีอะไรที่เหมือนกับการเข้ารหัสหรือการรับรองความถูกต้องรวมอยู่ใน
syslog โดยค่าเริ่มต้น
และนี่ก็เป็นข้อเสียเปรียบอีกครั้ง
ดังนั้นในการใช้งาน syslog สมัยใหม่ เราได้แก้ไขสิ่งเหล่านี้
เนื่องจากปัญหาด้านความปลอดภัยเหล่านี้
การใช้งาน syslog ที่ใหม่กว่าของเราได้เพิ่มคุณลักษณะและความสามารถต่างๆ
มากมาย
และเราจะพูดถึงสองสามข้อที่นี่
การใช้งานที่ใหม่กว่าครั้งแรกใช้ TCP สำหรับการจัดส่งที่สอดคล้องกัน
ด้วยวิธีนี้ หากเครือข่ายแออัดและข้อความนั้นไม่สามารถไปถึงได้
เครือข่ายจะส่งซ้ำแล้วซ้ำเล่าเพราะใช้
TCP
การปรับปรุงครั้งที่สอง การใช้งานที่ใหม่กว่า
สามารถใช้ TLS หรือการรักษาความปลอดภัยเลเยอร์การขนส่ง
เพื่อเข้ารหัสข้อความของคุณที่ส่งไปยังเซิร์ฟเวอร์
วิธีนี้จะทำให้คนอื่นในเครือข่ายไม่สามารถอ่านข้อมูลที่อยู่ระหว่างการส่งได้
สามารถอ่านได้โดยปลายทางที่ส่งและเซิร์ฟเวอร์ที่รับเท่านั้น
ประการที่สามคือการใช้งานที่ใหม่กว่ายังใช้
MD5 และ SHA1 เพื่อให้การรับรองความถูกต้องและความสมบูรณ์
วิธีนี้ช่วยให้ข้อความมีการตรวจสอบสิทธิ์และความสมบูรณ์ของข้อความขณะที่กำลังเปลี่ยนผ่านเครือข่ายของคุณ
เพื่อให้แน่ใจว่าข้อความเหล่านั้นจะไม่ถูกรบกวนโดยบุคคลอื่น
อีกครั้งคุณสมบัติอื่น ๆ อีกมากมาย
ฉันไม่ได้โฟกัสที่ชุดนี้มากเกินไป เพราะจริงๆ
แล้วสามสิ่งหลักที่เราสนใจคือเราได้ย้ายไปที่
TCP เพื่อการส่งมอบที่สม่ำเสมอ
เราได้เปลี่ยนไปใช้ TLS เพื่อเข้ารหัส
และเราเริ่มใช้ MD5 และ SHA1 สำหรับการรับรองความถูกต้องและความสมบูรณ์
ตอนนี้เซิร์ฟเวอร์เวอร์ชันที่ใหม่กว่านี้มักจะเรียกว่า
syslog-ng สำหรับ syslog รุ่นต่อไปหรือ rsyslog
ตอนนี้สิ่งสุดท้ายที่ฉันอยากจะพูดถึงเกี่ยวกับ
syslog คือ syslog มักจะใช้เพื่อหมายถึงสามสิ่ง
มันสามารถอ้างถึงโปรโตคอลที่เราส่งข้อมูลไป
สามารถอ้างอิงถึงเซิร์ฟเวอร์ในเซิร์ฟเวอร์
syslog หรือสามารถอ้างถึงรายการบันทึกในข้อมูล
syslog
ผู้คนมักจะพูดว่า syslog และพวกเขาหมายถึงทั้งสามหรือหนึ่งในสามนี้
ขึ้นอยู่กับบริบท
ดังนั้นโปรดระวังเมื่อคุณได้ยินคนพูดถึงในอุตสาหกรรมเพื่อให้แน่ใจว่าคุณเข้าใจว่าหนึ่งในสามที่พวกเขากำลังพูดถึง
SNMP คือคนต่อไปของเรา
SNMP เป็นโปรโตคอลการจัดการเครือข่ายอย่างง่าย
เป็นโปรโตคอล TCP ที่ช่วยในการตรวจสอบอุปกรณ์และคอมพิวเตอร์ที่เชื่อมต่อกับเครือข่าย
SNMP ถูกรวมอยู่ในระบบการจัดการและการตรวจสอบเครือข่าย
และมีการใช้อย่างมากในแนวคิดของการจัดการและการตรวจสอบ
SNMP แบ่งออกเป็นสามองค์ประกอบ
มีอุปกรณ์ที่ได้รับการจัดการ เอเจนต์
และระบบการจัดการเครือข่ายเอง
เราพูดถึงอุปกรณ์ที่มีการจัดการ
นี่คือคอมพิวเตอร์และอุปกรณ์เชื่อมต่อเครือข่ายอื่นๆ
ที่ได้รับการตรวจสอบผ่านการใช้ตัวแทนโดยระบบการจัดการเครือข่าย
ตัวแทนคือซอฟต์แวร์ที่โหลดลงในอุปกรณ์ที่มีการจัดการ
และสิ่งนี้ช่วยให้เราเปลี่ยนเส้นทางข้อมูลไปยังระบบการจัดการเครือข่ายที่จะทำการตรวจสอบ
และระบบการจัดการเครือข่าย หรือ NMS เป็นซอฟต์แวร์ที่ทำงานบนเซิร์ฟเวอร์หนึ่งเครื่องขึ้นไปที่ควบคุมการตรวจสอบอุปกรณ์และคอมพิวเตอร์ที่เชื่อมต่อกับเครือข่ายทั้งหมดทั่วทั้งเครือข่าย
SNMP เป็นกาวที่ทำให้ทั้งสามสื่อสารกันโดยใช้โปรโตคอล
SNMP นั้น
ทั้งหมดนี้มีลักษณะอย่างไรภายในเครือข่าย
บนหน้าจอ คุณจะเห็นไดอะแกรมสั้นๆ
ทางด้านซ้ายคือสถานีการจัดการเครือข่ายหรือ NMS
ซึ่งเป็นส่วนหนึ่งของระบบการจัดการเครือข่ายของเรา
สิ่งนี้จะทำหน้าที่เป็นผู้จัดการของเรา
และจะส่งและรับข้อความไปยังอุปกรณ์ที่ได้รับการจัดการทั้งหมดทั่วทั้งเครือข่าย
เราเตอร์ สวิตช์ และเซิร์ฟเวอร์ของคุณใช่ไหม
ตอนนี้เมื่อต้องการข้อมูล
ก็จะส่งคำขอรับ จากนั้นอุปกรณ์เหล่านั้นจะส่งข้อมูลกลับโดยใช้คำขอที่ตั้งไว้
ขณะนี้ยังมีสิ่งที่เรียกว่าคำขอดักจับ
ซึ่งจะได้รับข้อมูลที่ไม่พึงประสงค์จากอุปกรณ์การจัดการเหล่านั้น
โดยที่พวกเขาเพียงแค่ส่งข้อมูลตามต้องการเป็นระยะๆ
ดังนั้นเมื่อคุณดำเนินการจัดการเครือข่ายทั้งหมดนี้โดยใช้
SNMP คุณจะมีสองทางเลือกในการส่งข้อมูล
คุณสามารถส่งผ่านเครือข่ายที่คุณใช้อยู่
ซึ่งเรียกว่าการสื่อสารในวง
หรือส่งนอกวงก็ได้
ตอนนี้ เมื่อคุณดำเนินการในแบนด์
นั่นหมายความว่าคุณกำลังจะส่งข้อมูลการจัดการนี้ผ่านเครือข่ายเดียวกันกับที่เก็บข้อมูลองค์กรและข้อมูลปกติของคุณ
สิ่งนี้ถูกกว่า ง่ายกว่า แต่ปลอดภัยน้อยกว่า
ตอนนี้ เพื่อความปลอดภัยยิ่งขึ้น
คุณควรสร้างเครือข่ายนอกแบนด์
นี่เป็นเครือข่ายรองที่การจัดการทั้งหมดเกิดขึ้น
แต่คุณยังมีเครือข่ายหลักในวงที่ซึ่งข้อมูลทั้งหมดที่ผู้ใช้จะได้รับจะเกิดขึ้น
การจัดการควรดำเนินการบนเครือข่ายนอกแบนด์เสมอ
เพราะจะเพิ่มความปลอดภัยและนำฟังก์ชันการจัดการนั้นออกจากที่ที่ผู้ใช้สามารถสัมผัสหรือมองเห็นได้