🔂 🤸🏿 🌑 सुरक्षा घटना लॉग विश्लेषण चेकलिस्ट 🔚 🍐 🏵️

आज आईटी - बुनियादी ढांचे और लॉग विश्लेषण की निगरानी का विषय अधिक से अधिक लोकप्रियता प्राप्त कर रहा है। सबसे पहले, हर कोई सुरक्षा घटनाओं की निगरानी के बारे में सोचता है, जिस पर इस लेख में चर्चा की जाएगी। इस तथ्य के बावजूद कि इस विषय पर काफी कुछ कहा गया है और लिखा गया है, और भी अधिक सवाल उठते हैं। और इसलिए हमने एंटोन चुवाकिन और लेनी ज़ेत्सेर द्वारा लिखित लेख " क्रिटिकल लॉग रिव्यू चेकलिस्ट फॉर सिक्योरिटी इंसिडेंट्स " का अनुवाद करने का फैसला किया, जो उन दोनों के लिए उपयोगी होगा जो सिर्फ सुरक्षा घटनाओं की निगरानी के साथ काम करना शुरू कर रहे हैं, और इससे निपटने के लिए काफी लंबे समय, एक बार फिर से अपने आप को जांचने के लिए कि क्या आप कुछ अवसरों को याद नहीं कर रहे हैं।

यह चेकलिस्ट उन क्रियाओं को सूचीबद्ध करती है जो आवश्यक हैं यदि आप सुरक्षा प्रणाली लॉग की निगरानी करना चाहते हैं और सुरक्षा घटनाओं पर जल्दी से प्रतिक्रिया देना चाहते हैं, साथ ही संभावित स्रोतों और घटनाओं की एक सूची जो विश्लेषण के लिए रुचि हो सकती है।

कार्रवाई की सामान्य योजना

निर्धारित करें कि कौन से लॉग स्रोत और स्वचालित उपकरण आप विश्लेषण के लिए उपयोग कर सकते हैं
जर्नल प्रविष्टियों को एक स्थान पर कॉपी करें जहां आप उन सभी को देख और संसाधित कर सकते हैं
लॉग के "शोर" को स्वचालित रूप से कम करने के लिए यह निर्धारित करने के लिए कि आपके लिए ईवेंट आवश्यक हैं, नियम बनाएं
निर्धारित करें कि लॉग टाइमस्टैम्प पर भरोसा किया जा सकता है; समय क्षेत्र अंतर पर विचार करें
अपने IT परिवेश के लिए नवीनतम परिवर्तनों, क्रैश, त्रुटियों, राज्य परिवर्तनों, पहुंच और अन्य घटनाओं पर ध्यान दें
घटना से पहले और बाद में ठीक होने के लिए घटनाओं के इतिहास की जांच करें।
पूरी तस्वीर पाने के लिए विभिन्न पत्रिकाओं में क्रियाओं की तुलना करें
परिकल्पना क्या हुई; इसकी पुष्टि या खंडन करने के लिए पत्रिकाओं का अध्ययन करें

सुरक्षा लॉग के संभावित स्रोत

सर्वर और वर्कस्टेशन के ऑपरेटिंग सिस्टम के लॉग
अनुप्रयोग लॉग (जैसे वेब सर्वर, डेटाबेस सर्वर)
सुरक्षा उपकरण लॉग (उदा। एंटीवायरस, परिवर्तन का पता लगाने के उपकरण, घुसपैठ का पता लगाने / रोकथाम प्रणाली)
आउटगोइंग प्रॉक्सी लॉग और एंड यूजर एप्लीकेशन लॉग
सुरक्षा घटनाओं के अन्य स्रोतों पर भी विचार करना सुनिश्चित करें जो लॉग में नहीं हैं।

मानक लॉग लेआउट

लिनक्स ऑपरेटिंग सिस्टम और मुख्य अनुप्रयोग: / var / लॉग
विंडोज ऑपरेटिंग सिस्टम और मुख्य अनुप्रयोग: विंडोज इवेंट लॉग (सुरक्षा, सिस्टम, एप्लिकेशन)
नेटवर्क डिवाइस: आमतौर पर syslog के माध्यम से लॉग किया जाता है; कुछ अपने स्वयं के लेआउट और स्वरूपों का उपयोग करते हैं

लिनक्स लॉग में क्या देखना है

घटना	प्रवेश का उदाहरण
सफल लॉगिन	"स्वीकृत पासवर्ड", "स्वीकृत पबलीके", "सत्र खोला गया"
असफल लॉगिन प्रयास	"प्रमाणीकरण विफलता", "विफल पासवर्ड"
सत्र समाप्त	"सत्र बंद"
खाता बदलें	"पासवर्ड बदल गया", "नया उपयोगकर्ता", "उपयोगकर्ता हटाएं"
सूदो क्रिया	"सूडो: ... कमांड = ...", "विफल सु"
खराबी	"असफल" या "असफल"

विंडोज लॉग में क्या देखना है

घटना पहचानकर्ता नीचे सूचीबद्ध हैं विंडोज 2008 आर 2 और 7, विंडोज 2012 आर 2 और 8.1, विंडोज 2016 और 10. (मूल लेख मुख्य रूप से विंडोज 2003 और उससे पहले के लिए पहचानकर्ताओं का उपयोग करता है, जो नीचे सूचीबद्ध ईवेंटआईडी के मूल्यों से 4096 घटाकर प्राप्त किया जा सकता है)।

नीचे दी गई अधिकांश घटनाएँ सुरक्षा लॉग (Windows इवेंट लॉग: सुरक्षा) में हैं, लेकिन कुछ डोमेन नियंत्रक पर ही लॉग इन हैं।

घटना प्रकार	EventID
एंट्री और एग्जिट इवेंट	सफल लॉगऑन 4624; लॉगऑन 4625 विफल; लॉगऑफ़ 4634, 4647, आदि।
खाता बदलें	4720 बनाया गया; सक्षम 4726; 4738 बदल गया; विकलांग 4725; हटा दिया गया 630
पासवर्ड बदलें	4724, 4723
सेवाओं को शुरू करना और रोकना	7035.7036, आदि।
सुविधाओं तक पहुंच	4656, 4663

नेटवर्क उपकरणों के लॉग में क्या देखना है

अपने नेटवर्क उपकरणों के इनबाउंड और आउटबाउंड कार्यों को जानें।

नीचे दिए गए उदाहरण सिस्को एएसए लॉग से अंश हैं, लेकिन अन्य उपकरणों में समान कार्यक्षमता है।

फ़ायरवॉल यातायात	"निर्मित ... कनेक्शन" "पहुंच-सूची ... अनुमत"
फ़ायरवॉल अवरुद्ध यातायात	"एक्सेस-लिस्ट ... इनकार", "इनबाउंड से इनकार"; इनकार ... द्वारा
ट्रैफ़िक वॉल्यूम (बाइट्स में)	"Teardown TCP कनेक्शन ... अवधि ... बाइट्स ..."
चैनल और प्रोटोकॉल का उपयोग करना	"सीमा ... पार हो गई", "CPU उपयोग"
हमले का पता लगाने	"हमले से"
खाता बदलें	"उपयोगकर्ता जोड़ा", "उपयोगकर्ता हटा दिया गया", "उपयोगकर्ता निजी स्तर बदल गया"
व्यवस्थापक पहुँच	"एएए उपयोगकर्ता ...", "उपयोगकर्ता ... लॉक आउट", "लॉगिन विफल"

वेब सर्वर लॉग में क्या देखना है

गैर-मौजूद फ़ाइलों तक पहुँचने के लिए अत्यधिक प्रयास
URL के भाग के रूप में कोड (SQL, HTML)
उन एक्सटेंशन तक पहुंचें जिन्हें आपने इंस्टॉल नहीं किया था
वेब सेवा स्टॉप / स्टार्ट / क्रैश मैसेज
उपयोगकर्ता जोखिम को स्वीकार करने वाले "जोखिम भरे" पृष्ठों तक पहुंच
उन फ़ाइलों पर त्रुटि कोड 200 ( सफल अनुरोध ) जो आपके नहीं हैं
प्रमाणीकरण त्रुटि : त्रुटि कोड 401,403
अमान्य अनुरोध : त्रुटि कोड 400
आंतरिक सर्वर त्रुटि : त्रुटि कोड 500

उपयोगी लिंक

प्रत्येक EventID के लिए विंडोज घटनाओं के उदाहरण:
EventID.Net
Windows सुरक्षा लॉग इवेंट संदर्भ:
विंडोज सुरक्षा लॉग इनसाइक्लोपीडिया
लॉग विश्लेषण उपकरण की सूची:
सर्वश्रेष्ठ लॉग प्रबंधन उपकरण
मूल लेख के लेखकों में से एक के ब्लॉग पर सुरक्षा घटनाओं का जवाब देने से संबंधित अन्य "चीट शीट":
आईटी और सूचना सुरक्षा धोखा शीट्स

यदि आप इस विषय में रुचि रखते हैं, तो टिप्पणी लिखें, हम आपको जवाब देने में प्रसन्न होंगे। यदि आप नए लेखों के बारे में जानना चाहते हैं, तो हमारे वीके समूह और टेलीग्राम चैनल की सदस्यता लें।

सुरक्षा घटना लॉग विश्लेषण चेकलिस्ट