وقتی حادثهای رخ میدهد، اولین سؤال این است: «چه اتفاقی افتاد و از کجا شروع شد؟» سازمانهایی که لاگ متمرکز ندارند، معمولاً هرگز پاسخ دقیقی پیدا نمیکنند — چون تا وقتی به سراغ لاگ بروند، یا بازنویسی شده یا پاک شده است.
خلاصه: لاگی که روی همان دستگاهِ در معرض خطر بماند، دقیقاً وقتی که به آن نیاز دارید در دسترس نیست. متمرکزسازی، پیشنیاز هر تحقیق پس از حادثه است.
چرا لاگ محلی کافی نیست
- پاکشدنی است. مهاجم با دسترسی مدیریتی، لاگ محلی را پاک میکند.
- میچرخد. لاگهای ویندوز حجم محدود دارند و قدیمیها بازنویسی میشوند — گاهی در چند روز.
- قابل همبستسازی نیست. حملهای که از فایروال شروع شده، در سرور ادامه یافته و به پایگاه داده رسیده، فقط وقتی دیده میشود که هر سه در یک جا باشند.
- در ارزیابی پذیرفته نمیشود. ارائهٔ شواهد هنگام ممیزی، نیاز به لاگ قابل بازیابی دارد.
از کجا شروع کنیم
اشتباه رایج، شروع با خرید یک راهکار بزرگ است. مسیر عملیتر، شروع کوچک و گسترش تدریجی است. اولویت منابع، تقریباً همیشه همین ترتیب است:
- کنترلکنندههای دامنه — ورود و خروج، تغییر گروهها، قفلشدن حساب
- فایروال و تجهیزات لبه — ترافیک رد شده و پذیرفتهشده
- سرورهای حیاتی — همانهایی که خوابیدنشان یعنی توقف کسبوکار
- دسترسی راه دور — VPN و هر مسیر ورود از بیرون
چه چیزی را نگه داریم
وسوسهای هست که «همهچیز» را جمع کنیم. نتیجهاش هزینهٔ ذخیرهسازی بالا و انبوهی داده است که کسی نگاهش نمیکند. رخدادهایی که تقریباً همیشه ارزش دارند:
- ورود موفق و ناموفق، مخصوصاً برای حسابهای مدیریتی
- تغییر در حسابها، گروهها و مجوزها
- پاکشدن یا توقف خودِ سرویس لاگ
- تغییر پیکربندی تجهیزات شبکه
- خطاهای سرویسهای حیاتی
مدت نگهداری
مدت نگهداری را الزامات و نیاز تحقیق تعیین میکند، نه فضای دیسک. نکتهٔ مهمی که کمتر به آن توجه میشود: بسیاری از نفوذها هفتهها یا ماهها بعد کشف میشوند. اگر لاگ فقط دو هفته نگه داشته شود، در زمان کشف، شواهد از بین رفتهاند.
ساعتها را هماهنگ کنید
این بند کوچک بهنظر میرسد ولی حیاتی است: اگر ساعت دستگاهها با هم هماهنگ نباشد، همبستکردن رخدادها عملاً ناممکن میشود. یک منبع زمان مشترک برای همهٔ تجهیزات، پیشنیاز هر کار جدی روی لاگ است.
و مهمتر از همه
لاگی که جمع میشود ولی هرگز نگاه نمیشود، فقط هزینهٔ ذخیرهسازی است. حتی یک مرور هفتگی ساده — «چند ورود ناموفق داشتیم؟ حساب مدیریتی جدیدی ساخته شده؟» — از یک سامانهٔ پیشرفتهٔ بیاستفاده ارزشمندتر است.