LOG YÖNETİMİNİNDE AJANLI VE AJANSIZ YÖNTEMLER
Log yönetimi sistemlerinin nihai hedefi güvenlik analizini otomatik olarak yapabilecek sistemi kurmaktır.
Dünyada ajanlı yapıda log toplama çözümü kabul görmüş ürünler arasında yoktur
Yukarıda Gartner 2011 raporunda yansıtılan ürünler
görülmektedir.Leader segmentindeki Archsight, Q1labs, RSA, Symantec,
Loglogic, NitroSecurity ve Novell ya %100 ya da büyük oranda java ile
geliştirilmiş ve ajan kullanmayan çözümlerdir.
Bununla birlikte bazı ürünler tasarım kısıtlarından dolayı ajan
kullanmaktadır. Bu ajan kullanların bu tasarım kısıtını gidermek üzere
öne sürdüğü bazı görüşler vardır.Bu görüşler ayrıca gartner raporunu
liderler segmentine rağmen ajansız log toplamanın risk olduğunu da idda
etmektedirler.İdda edilen riskler:
1. Herhangi bir çalışanın bilgisayarında takılı USB diske kopyaladığı dosyaları bulabilirmiyiz ?
2.
Herhangi bir çalışan network kablosunu çekip bilgisayarda bazı işlemler
yaptı, sonra event logları temizledi ve kabloyu geri taktı. Ne
yaptığını bulabilirmiyiz ?
3. Sunucunun Log dosyalarının boyutu
1GB. Bu logun 980 MB’lık bölümü işime yaramayacak kayıtlar. Toplama
esnasında networkten ne kadar trafik geçecek ?
4. Kullanıcı bilgisayarlarımda firewall var. Uzaktan log veya envanter toplanabilir mi ?
5. Solitare.exe uygulamasının çalışmasını istemiyorum. Bu uygulama ajansız olarak engellenebilir mi ?
6.
Rootkit.exe dosyasının adı notepad.exe olarak değiştirildi ve
çalıştırıldı. Bunun tespit edilmesi veya engellenmesi sağlanabilir mi ?
7.
Kullanıcı bilgisayarlarından birinde network sniffer uygulaması
çalıştığında, bunun tespit edilmesi veya engellenmesi sağlanabilir mi ?
8. Kaç makinanın web kamerası veya tarayıcısı (scanner) var ?
9. PrintScreen tuşu veya Snip Tool / Snag-it v.b. uygulamalarla ekran görüntüsü yakalama girişimleri tespit edilebilir mi ?
10.
Kullanıcı bilgisayarında bazı dosyalar silinmiş veya değiştirilmiş
olduğunda C$ bağlantılarını kimin yaptığının tespit edilmesi ?
11. Network bağlantısı kesildiğinde yaşanan log kaybının riski göze alınabilir mi ?
12.
Logların uzaktan alınması durumunda tüm istemci veya sunucularda
yetkili bir domain hesabı ile logların alındığı düşünüldüğünde ilgili
servis hesabında yaşanacak bir problem (Lock, Delete, Password Change
v.b. ) logların alınmasını engelleyecek mi ?
Yukarıda risk diye
sayılan 12 maddenin 12 tanesi de Log Yönetimi konsepti içerisinde
uluslar arası ticarileşmiş ürünlerde mesela
HP-Arcsight,
Novell, Symantec gibi ve MIT ve CALTECH gibi saygın üniversitelerde
yapılan Doktora ve AR-GE çalışmalarında mesela
ArielRabkinandRandyKatz.,Chukwa: A SystemforReliableLarge-ScaleLog
Collection. At LISA 2010, the USENIX conference on Large Installation
System Administration. San Jose CA, November 2010.sayılmazlar.Bir de bu
işin öncülerinden kabul edilen AntonChuvakin
[http://chuvakin.blogspot.com/] bir log ve güvenlik yönetimi çözümünde
olmazsa olmazları listelediği çalışmasında; http://chuvakin.blogspot.com/2011/07/top-10-criteria-for-siem.htmlBu yazımız konusu olan önemli ya da olmazsa riskli olarak bahsi geçen maddeler bulunmamaktadır.
Ayrıca;
denebilir ki, HP-Arcsight, Novell, Symantec bu özellikleri
geliştiremiyor onun için bu özellikleri log yönetim sistemlerine
eklemiyorlar. Bu listelenen özelliklerin bir kısmını uzmanlar DLP
ürünlerinde ararlar. En azından Symantec’in bir DLP ürünü olduğunu
biliyoruz. Bu üreticiler isterse kolaylıkla log yönetimi içerisine bunu
katabilir ama ikisinin birbirine hiç katkısı olmadığından, sistemiçin ek
donanım yatırımı ve belki veritabanı yatırımı gerektireceği için
kaçınmaktadırlar.
Ayrıca listelenen maddelerin DLP ye bakan yüzünün
onlarca kat daha fazlasını yapan Websense, Mcaffe ve Symantec DLP
ürünleri mevcuttur. Ayrıca başka ticari DLP çözümleri de mevcut.
Ayrıca,
bu profesyonel DLP ürünlerinin maliyetleri ile bu ürünlerin log
yönetimi içerisine serpiştirilmiş alt kümesinin maliyet noktalarına da
ileride değinebiliriz.
Ayrıca, bu 12 maddenin 5 tanesi için ajan
kullanmak da gerekmez. Mesela madde 2, 4, 5,11,12 gibi. Bu özellikler
basit GPO ve AD entegrasyonu ile halledilebilecek özelliklerdir.
Maddeleri
inceledikçe Log Yönetimi ve Güvenlik Yönetimi konseptinin ne kadar
dağıldığı da görülmekte. Mesela madde 4 ve 8 de envanter toplanmasından
bahsedilmiş. Yukarıda bahsettiğim ticari ve akademik çalışmaların
hiçbirinde envanter toplama ve yönetimi gibi konseptler görülmez.
Ayrıca,
denebilir ki HP-Arcsight, Novell, SymantecEnvanter özellikleri
geliştiremiyor onun için bu özellikleri log yönetim sistemlerine
eklemiyor. Madde 4 ve 8 deki özelliği uzmanlar Envanter Yönetimi
ürünlerinde ararlar. En azından HP nin ve Symantec in bir Envanter ürünü
olduğunu biliyoruz. Symantec’in ürünü Altiris, HP nin ki de Node
Manager ailesinin içerisinde olsa gerek. İsterlerse kolaylıkla log
yönetimi içerisine bunu katabilirler ama ikisinin birbirine hiç katkısı
olmadığı gibi gereksiz performans düşmesinden dolayı donanım yatırımı ve
belki veritabanı yatırımı gerektireceği için kaçınmaktadırlar.
Ayrıca,
yine madde 4 te Kullanıcı bilgisayarlarımda firewall var. Uzaktan log
veya envanter toplanabilir mi ?diye sorularak bir çelişki de ortaya
konulmuştur. Şöyle ki, eğer uzaktan log veya envanter toplanamıyorsa
uzaktan otomatik ajan da yüklenemez. Özellikle binlerce makineye uzaktan
ajanları yükleyemeyince teker teker dolaşarak yüklenmesi gerekir ki bu
sistem yöneticileri için bir azap olur. Dolayısı ile uzaktan ajan
yüklenebiliyorsa log da toplanabilir envanter de.
Eğer maddelerin üzerinden de teker teker geçmek gerekirse;
1. Herhangi bir çalışanın bilgisayarında takılı USB diske kopyaladığı dosyaları bulabilirmiyiz ?
Bu
bir DLP özelliği olup profesyonel bir DLP de bu özellikle birlikte
onlarca başka özelliği bulabilirsiniz. Ayrıca konunun log yönetimi
içindeki yerini girişte açıkladım.
USB operasyonları ile kısıtlı da
olsa (kim kullanmış,hangi makinede kullanmış,ne zaman kullanmış gibi)
bazı bilgiler ajansız ve GPO/AD yardımıyla alınabilir.
2.
Herhangi bir çalışan network kablosunu çekip bilgisayarda bazı işlemler
yaptı, sonra eventlogları temizledi ve kabloyu geri taktı. Ne yaptığını
bulabilirmiyiz ?
Windows Auditpolicy ile log temizleme,silme vs.
yapanları en azından tespit etmek mümkün. Ayrıca bu tür işlemlere GPO/AD
üzerinden kısıt getirmek de mümkün.
3. Sunucunun Log
dosyalarının boyutu 1GB. Bu logun 980 MB’lık bölümü işime yaramayacak
kayıtlardır. Toplama esnasında networkten ne kadar trafik geçecek ?
Bu
kadar logu oluşturan bir sistemin loglarının tamamının daha sonra işe
yarayacağı ile ilgili LosAlamosNationalLaboratory de bu konuda uzun
süre çalışan Dr. Ben Uphoff’un[http://people.msoe.edu/~uphoff/]
çalışması incelenebilir.
[http://code.google.com/p/netfse/wiki/NetworkEventAnalysis]
Ayrıca,
tabiki bu kadar log içerisinden analiz yapabilme kapasitesine sahip bir
sisteme sahip olmak lazım. Bu analizi yapamazsanız anca
logufilitrelemeye gidersiniz.
1 GB gibi devasa bir logdan sadece
20 MB anlamlı log çıkar çıkarımı bu işi uzun süre tecrübe etmişlerin
tecrübeleri ile uyuşmamaktadır. Ayrıca nasıl bir mülahaza ile böyle bir
örnek verildi o da sarih değil. Çünkü uzaktan da log toplarsınız her
türlü filtrelemeyle sadece ilgilendiğiniz logları çekebilirsiniz. İlla
hepsini merkeze alıp orada filtrelemek zorunda değilsiniz.
4. Kullanıcı bilgisayarlarımda firewall var. Uzaktan log veya envanter toplanabilir mi ?
GPO
ve AD ile istenen RPC portları (makinelerin çoğunda zaten eklidir)
firewall a eklenerek kolayca yapılabilir. Ajan gerekmeden kolayca
yapılabilir. Ayrıca konunun log yönetimi içindeki yerini girişte
açıkladım.
5. Solitare.exe uygulamasının çalışmasını istemiyorum. Bu uygulama ajansız olarak engellenebilir mi ?
Bu
bir DLP özelliği olup profesyonel bir DLP de bu özellikle birlikte
onlarca başka özelliği bulabilirsiniz. Ayrıca girişte açıkladım konunun
log yönetimi içindeki yerini. Bununla birlikte GPO/AD ile bu tür
kısıtlar getirmeyi sanıyorum herkes biliyordur.
6. Rootkit.exe
dosyasının adı notepad.exe olarak değiştirildi ve çalıştırıldı. Bunun
tespit edilmesi veya engellenmesi sağlanabilir mi ?
Bu bir DLP
özelliği olup profesyonel bir DLP de bu özellikle birlikte onlarca başka
özelliği bulabilirsiniz. Konunun log yönetimi içindeki yerini de
girişte açıkladım.
Ayrıca Windows AuditPolicy yardımıyla isim değiştirme ve çalıştırmayı takip edebilirsiniz.
7.
Kullanıcı bilgisayarlarından birinde network sniffer uygulaması
çalıştığında, bunun tespit edilmesi veya engellenmesi sağlanabilir mi ?
Windows
Auditpolicy ile bunları en azından tespit etmek mümkün.Yine GPO ile de
engellemek mümkün. Ayrıca konunun log yönetimi içindeki yerini girişte
açıkladım.
8. Kaç makinanın web kamerası veya tarayıcısı (scanner) var ?
Bu
bir envater yönetimi sistemi ile kolayca takip edilebilecek bir
özelliktir. Ayrıca konunun log yönetimi içindeki yerini girişte
açıkladım.
9. PrintScreen tuşu veya SnipTool / Snag-it v.b. uygulamalarla ekran görüntüsü yakalama girişimleri tespit edilebilir mi ?
Bu
bir DLP özelliği olur profesyonel bir DLP de bu özellikle birlikte
onlarca başka özelliği bulabilirsiniz. Konunun log yönetimi içindeki
yerini girişte açıkladım.
Ayrıca bu tür bir ihtiyacı olan şirketin
aynı şeyin cep telefonu, fotograf makinesi ve video kamera ve benzeri
cihazlarla da yapılabileceğini bilmesi ve fiziksel güvenlik önlemlerini
de alması gerekir.Hatta elektrik hatları üzerinden ve uzak mesafeden
ekran görüntüsü tespiti yapılabildiğini ve bunu engellemek için de özel
filtreler kullanıldığını unutmayalım. TUBİTAK bu tür filtreler
geliştiriyordu diye hatırlıyorum.
10. Kullanıcı
bilgisayarında bazı dosyalar silinmiş veya değiştirilmiş olduğunda C$
bağlantılarını kimin yaptığının tespit edilmesi ?
Windows Auditpolicy ile bunları raporlamak mümkün. Yine GPO ile de engellemek mümkün.
11. Network bağlantısı kesildiğinde yaşanan log kaybının riski göze alınabilir mi ?
Böyle
bir durumda log kaybının oluşması için konfigurasyon hatası yapmak
lazım. Aksi halde loglarlokal sistemler tarafında biriktirilir. Mesela
windowseventlogları günlük veya belli bir boyuta ulaşana kadar lokal de
saklanırlar.
12. Logların uzaktan alınması durumunda tüm
istemci veya sunucularda yetkili bir domain hesabı ile logların alındığı
düşünüldüğünde ilgili servis hesabında yaşanacak bir problem (Lock,
Delete, PasswordChangev.b. ) logların alınmasını engelleyecek mi ?
Bu
tür bir problemle karşılaşmamak için lokal hesaplar ile de WMI,DCOM,RPC
üzerinden loglar alınabilir şeklinde bir yedek log toplamı yöntemi de
diğerine parelel olarak uygulanabilir.
Tabi burada bahsedilmeyen
ajanların herhangi bir yöntemle kapatılması durumu ve ajanların lokal
makinede açabileceği sorunlardan dolayı helpdesk ekibindeki iş yükü
artışı ve kuruldukları her makinede oluşması ihtimali olan yavaşlatma
senaryolarına hiç değinilmemiş.
Değinilmeyen diğer bir husus da ajanların merkezi yönetiminin ağa yapacağı ekstra trafik yükünün ne olduğudur.
Değinilmeyen
3. Konu da ajanlı bir sistemde toplam işlem gücünün iyimser bir
yaklaşıma %10 nunu bu ajanlı sisteme teslim etme keyfiyetidir. Örnek bir
hesaplama yapılırsa 1000 cihazlık bir ağda eğer ajanlar %10 CPU
kullanırsa 100 makineyi de bu ajanlı sisteme tahsis etmiş gibi
olursunuz. Eğer networke geniş açıdan overview yaparsanız ajanın size
maliyetlerine bunların katılması da isabetli olur.
Eğer ajan kayda değer RAM kullanıyorsa benzer hesaplama onun için de yapılabilir.
Var
olduğu varsayılan avantajlar yukarıda teker teker analiz edildi. Buna
rağmen bu sistemi operate etmek isteyenlerin yukarıda bahsi geçen yapıyı
operate ederken ajanların merkezi yönetiminden ve biraz DLP, biraz
envanter yönetimi gibi özelliklerin sisteme serpiştirilmesinden
kaynaklanan;
-Olası yönetim zorluklarını
-Ne kadar donanım yatırımı yapıldığı?
-Ne kadar Veritabanı lisansı yatırımı yapıldığı?
-Ne kadar extra destek yükü gerektiğinin hesabını da yapmalıdır.
Ayrıca,
büyük ağlarda ajanlı sistem beni ne kadar üreticiye yada yetkili çözüm
ortağına muhtaç ediyor? Üreticiye yada yetkili çözüm ortağı olmadan da
ben bu sistemi yaşatabiliyor muyum? diye fizibilite analizi ve hesabı
yapılmalıdır.
Fizibilite analizinin temel olduğu özel sektörün bu
parametreleri göz ardı etmeleri beklenemez. Benzer yapının diğer
sektörlerde de var olması gerektiği de aşikardır.
Son olarak da
belirtmek lazım ki özellikle enterprise sistemlerde log yönetimi çözümü
seçiminde önemli pek çok parametre vardır. En azından bir tanesinden
bahsederek konuyu kapatmak istiyorum.Bu da ürünün korelasyon yeteneği.
Aşağıda özelliklerini saydığım korelasyon özellikleri iyi bir ürünün
olmazsa olmazlarındandır.
• Hafızada Korelasyon Yapabilme
• Tek Kaynak Korelasyon Kuralları
• Çoklu Kaynak Korelasyon Kuralları
• Negatif Condition Kuralları
• Context Base Korelasyon
• Hiyerarşik Korelasyon
• Esnek kural oluşturma yapısı-Kural dili
• Rule Base
• ComplexEventProcessing
• ForwardChaning
• BackwardChaining
Kaynak:
http://www.olympos.net/belgeler/syslog/log-yonetimininde-ajanli-ve-ajansiz-yontemler.html#ixzz1lhT8dkkE
