日志分析审计系统 什么情况下分布式部署

您好，很高兴为您解答。日志审计系统的需求分析日志很早就有，日志对于信息安全的重要性也早已众所周知，但是对日志的真正重视却是最近几年的事情。当今的企业和组织在IT信息安全领域面临比以往更为复杂的局面。这既有来自于企业和组织外部的层出不穷的入侵和攻击，也有来自于企业和组织内部的违规和泄漏。为了不断应对新的安全挑战，企业和组织先后部署了防病毒系统、防火墙、入侵检测系统、漏洞扫描系统、UTM，等等。这些安全系统都仅仅防堵来自某个方面的安全威胁，形成了一个个安全防御孤岛，无法产生协同效应。更为严重地，这些复杂的IT资源及其安全防御设施在运行过程中不断产生大量的安全日志和事件，安全管理人员面对这些数量巨大、彼此割裂的安全信息，操作着各种产品自身的控制台界面和告警窗口，显得束手无策，工作效率极低，难以发现真正的安全隐患。另一方面，企业和组织日益迫切的信息系统审计和内控、以及不断增强的业务持续性需求，也对当前日志审计提出了严峻的挑战。下表简要列举了部分相关法律法规对于日志审计的要求:尤其是国家信息系统等级保护制度的出台，明确要求二级以上的信息系统必须对网络、主机和应用进行安全审计。综上所述，企业和组织迫切需要一个全面的、面向企业和组织IT资源（信息系统保护环境）的、集中的安全审计平台及其系统，这个系统能够收集来自企业和组织IT资源中各种设备和应用的安全日志，并进行存储、监控、审计、分析、报警、响应和报告。日志审计系统的基本组成：对于一个日志审计系统，从功能组成上至少应该包括信息采集、信息分析、信息存储、信息展示四个基本功能：1)日志采集功能：系统能够通过某种技术手段获取需要审计的日志信息。对于该功能，关键在于采集信息的手段种类、采集信息的范围、采集信息的粒度（细致程度）。2)日志分析功能：是指对于采集上来的信息进行分析、审计。这是日志审计系统的核心，审计效果好坏直接由此体现出来。在实现信息分析的技术上，简单的技术可以是基于数据库的信息查询和比较；复杂的技术则包括实时关联分析引擎技术，采用基于规则的审计、基于统计的审计、基于时序的审计，以及基于人工智能的审计算法，等等。3)日志存储功能：对于采集到原始信息，以及审计后的信息都要进行保存，备查，并可以作为取证的依据。在该功能的实现上，关键点包括海量信息存储技术、以及审计信息安全保护技术。4)信息展示功能：包括审计结果展示界面、统计分析报表功能、告警响应功能、设备联动功能，等等。这部分功能是审计效果的最直接体现，审计结果的可视化能力和告警响应的方式、手段都是该功能的关键。日志审计系统的选型指南：那么，我们如何选择一款合适的日志审计系统呢？评价一款日志审计系统需要关注哪些方面呢？笔者认为至少应该从以下几个方面来考虑：1、由于一款综合性的日志审计系统必须能够收集网络中异构设备的日志，因此日志收集的手段应要丰富，建议至少应支持通过Syslog、SNMP、NetFlow、ODBC/JDBC、OPSECLEA等协议采集日志，支持从Log文件或者数据库中获取日志。2、日志收集的性能也是要考虑的。一般来说，如果网络中的日志量非常大，对日志系统的性能要求也就比较高，如果因为性能的问题造成日志大量丢失的话，就完全起不到审计的作用的了。目前，国际上评价一款日志审计产品的最重要指标叫做“事件数每秒”，英文是EventperSecond，即EPS，表明系统每秒种能够收集的日志条数，通常以每条日志0.5K～1K字节数为基准。一般而言，EPS数值越高，表明系统性能越好。3、应提供精确的查询手段，不同类型日志信息的格式差异非常大，日志审计系统对日志进行收集后，应进行一定的处理，例如对日志的格式进行统一，这样不同厂家的日志可以放在一起做统计分析和审计，必须注意的是，统一格式不能把原始日志破坏，否则日志的法律效力就大大折扣了。4、要让收集的日志发挥更强的安全审计的作用，有一定技术水平的管理员会希望获得对日志进行关联分析的工具，能主动挖掘隐藏在大量日志中的安全问题。因此，有这方面需求的用户可以重点考查产品的实时关联分析能力。5、应提供大容量的存储管理方法，用户的日志数据量是非常庞大的，如果没有好的管理手段，不仅审计查询困难，占用过多的存储空间对用户的投资也是浪费。6、日志系统存储的冗余非常重要，如果集中收集的日志数据因硬件或系统损坏而丢失，损失就大了，如果选购的是软件的日志审计系统，用户在配备服务器的时候一定要保证存储的冗余，如使用RAID5，或专用的存储设备，如果选购的是硬件的日志审计系统，就必须考查硬件的冗余，防止出现问题。7、应提供多样化的实时告警手段，发现安全问题应及时告警，还要提供自定义报表的功能，能让用户做出符合自身需求的报表。以上是笔者针对日志审计系统的选型提出的几个建议，但在实际中，还有一些其他的问题需要考虑，像厂商的支持服务能力、产品案例的应用等等，这里就不一一列举了。总之，信息安全基础设施的日趋复杂，使得我们已经从简单的日志管理时代迈入了系统性的日志综合审计时代，日志对于网络与信息安全的价值和作用必将越发重要。如若满意，请点击右侧【采纳答案】，如若还有问题，请点击【追问】希望我的回答对您有所帮助，望采纳！~O(∩_∩)O~

微软系统中任何关于如何限制或控制管理员权限的讨论通常都会得到这样的结果：你怎样才能不把管理权限送给那些你不信任的人?这有一定道理，但是在没有证据表明管理员做错了事情的情况下，如何才能正确判断一个管理员是否值得信任呢?再者，你如何证明你的判断呢?你不能剥夺一个域管理员太多权限，尤其是在每个域都要管理的多网域环境下，所以说有时候限制管理员的权利和授权活动这项工作很难实现。辅助人员和供给人员通常也需要具有管理权利，而且有时政治需求还会需要更多的管理人员。所以，真正的问题是，你如何去审计一个管理员?虽然答案是只要启用审计就行了，但是只是简单地启用审计功能并不能解决所有的问题。举例来说，我最近与许多管理员一起进行了一项大型的活动目录部署活动。他们有一个应用程序，使用特定的用户对象属性提供对该应用程序的连接。站在安全相关立场，他们发现管理员可以禁用审计功能，修改一些关键的属性，并且可以对该应用程序做坏事。然后该管理员可以重新启用审计功能而不会被觉察---甚至WindowsServer2008R2的属性审计功能也是如此。启用审计功能的时候，系统可以记录足够的事件，从中可以看出谁改变了对象，以及谁改变了属性。但是由于审计功能被禁用，所有这方面的证据都消失了。

首先我们知道日志是什么,日志毫无疑问就跟我们写日记一样记录我们每天做的一些事情,那么日志对于一台服务器而言是至关重要的,比如说我们搭建服务的时候,服务起不来也没提示错误信息,那么这个时候就可以查看日志来排错了,还记录了服务器的运行情况已经入侵记录等等... ,那么我们知道一台服务器的日志默认是存放在本地的对于linux而言日志一般存放于/var/log/目录下,比如说某系统管理员管理着几十甚至上百台服务器的时候,默认日志放在每台服务器的本地,当我们每天要去看日志的时候一台一台的看日志是不是要郁闷死了. 没关系在linux系统上提供了一个syslogd这样的一个服务为我们提供日志服务器,他可以将多台主机和网络设备等等的日志存到日志服务器上,这样就大大减少了管理员的工作量,下面将在一台默认装有rhel5.x的系统上搭建一台日志服务器.

～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～

系统环境：默认安装有rhel5.8的系统

主机 角色 IP地址

server1日志服务器 10.0.0.1

server210.0.0.2

～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～

实际上日志服务器的配置非常之简单几条命令就搞定了

一.配置日志服务器为网络中其他主机及其网络设备等等提供日志存储服务,也就是配置server1

1. 在server1上编辑/etc/sysconfig/syslog文件修改如下

#vim /etc/sysconfig/syslog ## 只修改SYSLOGD_OPTINOS这项,如下

SYSLOGD_OPTIONS="-m 0 -r"

2 .重新启动syslog

#service syslog restart

3.配置防火墙,syslog传送日志的端口是UDP的514端口防火墙在默认的情况下是阻止所有的,这里就 直接把防火墙关闭了,防火墙的配置就不介绍了

#service iptables stop

#chkconfig iptables off

ok！到这里服务器的配置基本就结束了.

二.配置server2让其将日志发送到日志服务器上去,我们知道windows跟交换机路由器都是有日志产 生的,它们的日志也是可以存储到日志服务器上去的,这里就只介绍linux主机的

1.配置server2上的/etc/syslog.conf定义日志的类型以及日志的级别和日志存放的位置,这里就只简 单的介绍下大体的配置思路,

#vim /etc/syslog.conf

*.* @10.0.0.1

上面的配置表示所有的日志类型.所有的日志的级别的日志都将存放在10.0.0.1这台日志服务器上

2,重启syslog

#service syslog restart

三.验证

1.在server2上建一个redhat的用户,然后到server1上的/var/log/secure文件或者/var/log/messages文件 查看日志

#cat /var/log/secure

Jun 8 00:58:05 10.0.0.2 useradd[15463]: new group: name=redhat, GID=500

Jun 8 00:58:05 10.0.0.2 useradd[15463]: new user: name=redhat, UID=500, GID=500, home=/home/redhat, shell=/bin/bash

可以看到10.0.0.2这台主机new了一个redhat的用户

---