================================================================= ※文章接待轉寄、援用，唯敝人但願註明來自PTT MIS版，以達推行之效※ ================================================================= PTT惠我很多，可貴有MIS版，能多進獻些所學，實感僥幸 日誌MIS外包經管(Log Management, LM)其實已經是行之豐年的老話題了， 但事實上，由於各類因素，其實仍是不難發現企業內部的日誌大多照樣 由各MIS外包系統承辦單元在自立管理，固然這個緣由很多，但最首要照樣權責 劃分問題，若列位同夥有在比力具範圍的企業任職MIS ，大到MIS外包部分間的 衝突，小到 科/組 (ex:SP/AP/DBA..)之間的的隔膜之深..... 若不是真有機遇見識到，率直說還真難以想像。 好，那麼回到主題，傳統的Log如常見的Syslog(每每用在UNIX/UNIX-LIKE/Devices) 、Windows Event、或像是在 /var/logs下的各種Log (UNIX/UNIX-LIKE) 列位若有幸作為一位SPMIS外包人員，一定幾何會碰到關於Log的幾個問題： 1. 日誌(Log)量過量，難以管理 -- 需要諸多的貯存空間存放、 必須妥帖的規劃Rotation、House Keeping 2. 沒有利便的體例做日誌查閱 ex: by date, by username , by ip , by event type.. 3. 沒有同一的集中查閱體式格局 -- 各主機、系統的Log寄存位置不同 若你是一名統管數百台乃至數千台Server的經管者， 當你想查閱某台Server的日誌(Log)，你得到該台主機上去調， 萬一你需要查閱的是某個帳號名稱在某個時候曾經登入那些主機呢？ ......如果我，一定要瘋掉的 4. 日誌的電子證據效率 -- 這就屬於對照律例層面的問題了，稍後簡單點到 針對1,2,3點，實際上是良多MIS外包系統管理者的困擾。 於是乎 LM(Log Management)的觀念就降生，大致上幾個主要的精力： (呼應以上幾點) 1. Log集中保管、集中寄存 2. Log正規化(Normalization) -- 正規化其實就是妥帖的將Log的資訊做萃取 以Syslog舉個例： Jun 12 09:15:50 10.1.4.201 DefensePro: 12-06-2012 09:15:50 INFO User ipsadmin logged in via web (IP: 10.1.1.123) 列位可以看到這條Log中，萃取出有價值的資訊為 産生時候：Jun 12 09:15:50 裝備IP：10.1.4.201 設備名稱：DefensePro 登入時候：12-06-2012 09:15:50 嚴重等級：INFO 登入帳號：ipsadmin 登入體例：web 起原IP：10.1.1.123 以上就是一個正規化的觀念了，但透過LM系統來幫我們解讀， 然後將對應資訊放入對應欄位。 ex: 該放 來曆IP就放入來曆IP的欄位, 該放 帳號名稱就放入帳號名稱 所以以我剛剛說的需求： 要快速調閱 2012/06/12 所有曾利用ipsadmin這個帳號登入的紀錄 在LM的匡助下(條件是已收留了所有伺服器/裝備的Log)，利用搜尋前提 登入時候 = '2012/06/12' AND 帳號名稱 = 'ipsadmin' (一般來講，應該會有GUI的方式操作到達以上的搜索前提設定) 便可知足此需求。 3. 集中查閱。以上面的例子來講，若是你有上百台裝備+上百/千台伺服器... 光是每台找Log，搜索帳號名稱、抓日期，肯定就是要瘋掉了...至少我必然會瘋掉 光是1,2,3點的益處，就足以讓IT單位導入LM系統。 4. 日誌的電子證據效率： 這算是對照偏律例面的話題，由於訴訟的案例會發現電子記載的證據力， 常常輕易遭到質疑，而舉證之地點、敗訴之地點， 若企業舉證利用的Log ，不被法院承認其效率， 因證據必須有弗成否認、不可竄改的特性，偏偏電子證據最輕易被點竄變造， 舉證這點就會落入很是晦氣的處境。 而一般較高規格的LM系統便會插手此特征，讓Log一旦收留LM後沒法點竄， 留存其證據力。 OK，介紹了LM的概念後，來談談市道上常見的LM產品 Microsoft System Center Operation Manager (SCOM) HP ArcSight Logger Novell Sentinel Log Manager (NetIQ) CA Enterprise Log Manager RSA enVision McAfee Enterprise Log Manager IBM Q1 Lab Splunk* 以上舉的這些產品，基本上都有知足我上述所提的觀念， 但某些其實不具有第四點的特征(證據力)，為避免有貿易廣告的嫌疑， 我就不希奇提醒，人人有樂趣無妨暗裏交換或Google，都可以輕鬆找到解答。 至於Splunk部份，我特殊Mark起來是因為Splunk似乎沒有正規化的特征， 但也能殺青LM所需要的重點(集中保留日誌及搜索能力)， 因為我接觸其實不深，所以略微提一下。 數年前，LM的概念被晉升成SIEM(Security Information and Event Management) 乃至成長到了SOC(Security Operation Center) 因為這篇文已太長，所以我就暫不談這塊，最少先跟大師分享LM的觀念。 ================================================================= ※文章接待轉寄、援用，唯敝人進展註明來自PTT MIS版，以達推行之效※ =================================================================

本篇文章援用自此: https://www.ptt.cc/bbs/MIS/M.1385745673.A.972.html