แหล่งบันทึกเหตุการณ์ (Log Sources) สำคัญสำหรับการติดตามความปลอดภัยเครือข่าย
Network Security Logs คืออะไร?
Logging = การสร้างชุดเรคอร์ดอธิบายกิจกรรมของระบบ เหตุการณ์ที่เกี่ยวข้อง เงื่อนไขข้อผิดพลาด ความผิดปกติ สถานะทั่วไป หากไม่มี Logs จะไม่รู้กิจกรรมอันตราย และไม่สามารถตอบสนองได้
ประเภท Logs ใน Cyber Security
Perimeter Device Logs, Windows Event Logs, Endpoint Logs, Application Logs, Proxy Logs, IoT Logs
Log Sources คืออะไร?
แหล่งที่สร้าง Event Logs Firewall/IPS = Security Events Switches/Routers = Network Events QRadar รองรับโปรโตคอลหลากหลายสำหรับ Raw Log Events
แหล่ง Logs ที่มีค่าในช่วง Security Incident
Database Logs, Web Server Logs, DNS Logs, Cloud Platform Logs, Physical Security Logs
ทำไม Logs จึงสำคัญสำหรับความปลอดภัย?
ช่วยสืบสวนข้อผิดพลาด กำหนดสาเหตุ Error หรือ Security Breach Log Files บันทึกกิจกรรมพร้อมกับ System Activities
Network Security Logs (เพิ่มเติม)
Log Files มีข้อมูลเหตุการณ์ทั่ว Systems และ Networks ขององค์กร Log Entries = รายละเอียดเหตุการณ์เฉพาะใน Network/System องค์กรมี Log Files หลายไฟล์เก็บข้อมูล Computer Security
Security Log มีอะไรบ้าง?
Audit Policy: Login/Logout Activity Security Log บันทึก OS Activity เมื่อเปิด Auditing ใน Windows
วิธีตรวจสอบ Security Log
Event Viewer > Windows Logs > Security > คลิก Event เฉพาะเพื่อดูรายละเอียดใน Results Pane
ประเภท Logs ที่แตกต่างกัน
Gamma Ray Data, Spectral Gamma Ray Logs, Density Logging, Neutron Porosity Logs, Pulsed Neutron Lifetime Logs, Carbon-Oxygen Logs, Geochemical Logs (หมายเหตุ: นี้คือ Well Logging ในน้ำมัน/แก๊ส ไม่ใช่ IT Logs)
3 ประเภท Logs ผ่าน Event Viewer
Informational, Warning, Error, Security (Success Audit, Failure Audit, Security Log)
Logs ใดควรส่งไป SIEM?
Firewalls, Routers/Switches/Access Points, Wireless Access Points, Vulnerability Scanners, Partners, Antivirus/Antimalware
SIEM Log Sources คืออะไร?
Security Controls: IDS, Anti-virus/Malware, DLP, Web Filters, Honeypots, Firewalls Logs: Switch Ports, Routers, Domain Controllers, Web App Servers, Intranet Apps, Databases
ตัวอย่าง SIEM Logging Source
SOC Analyst ใช้ Logs จาก: Network IPS/IDS, Network DLP, Sandboxes, Router NetFlow Data
Log Source Identifier คืออะไร?
Parameter: Log Source Identifier = IPv4 Address หรือ Host Name ของอุปกรณ์ที่สร้าง Event ตั้งค่า Network ให้ระบุ IP ของอุปกรณ์ต้นทาง มิฉะนั้นระบุ Management Console
3 อุปกรณ์/โปรแกรมที่ควรเก็บ Logs ไป SIEM
Firewall Logs (จำเป็น) Key Servers: Active Directory, Database, Key Application Server IDS Logs, Antivirus Logs, Web Server Logs
