بعد از هر حادثه امنیتی، اولین سؤال این است: «مهاجم از کجا و از کی وارد شد؟» در بسیاری از شرکت‌ها جواب این سؤال هیچ‌وقت پیدا نمی‌شود؛ یا لاگی ثبت نشده، یا ثبت شده اما به‌دلیل کوچک بودن فایل لاگ، رویدادهای چند روز قبل رونویسی شده است. لاگ امنیتی هم ابزار تشخیص زودهنگام است و هم مدرک بررسی پس از حادثه.
کدام لاگ‌ها مهم‌ترند؟
لازم نیست از روز اول همه‌چیز را جمع کنید. این منابع بیشترین ارزش را دارند:
- کنترل‌کننده‌های دامین: ورودها، قفل شدن حساب‌ها، ساخت حساب جدید و تغییر گروه‌های مدیریتی
- فایروال و VPN: اتصال‌های VPN، ورود به پنل مدیریت و ترافیک رد شده
- سرور ایمیل و وب‌میل: ورودهای ناموفق و ورود از مکان‌های غیرعادی
- کنسول بکاپ و مجازی‌سازی: حذف بکاپ، تغییر تنظیمات و ورود مدیران
- آنتی‌ویروس یا EDR: همه هشدارها
رویدادهای کلیدی ویندوز
چند شناسه رویداد در لاگ Security ویندوز که ارزش پایش دارند:
4625: ورود ناموفق؛ تعداد زیاد در زمان کوتاه یعنی حمله حدس رمز.4624: ورود موفق؛ به‌خصوص ورود حساب‌های مدیر در ساعات غیرعادی.4740: قفل شدن حساب کاربری.4720: ساخته شدن حساب کاربری جدید.4728،4732و4756: اضافه شدن عضو به گروه‌های امنیتی، مثلاً به Domain Admins.1102: پاک شدن لاگ Security؛ تقریباً همیشه باید بررسی شود.
قدم اول: ثبت را درست فعال کنید
- سیاست ممیزی پیشرفته (Advanced Audit Policy) را با Group Policy برای کنترل‌کننده‌های دامین و سرورها تنظیم کنید تا رویدادهای ورود، مدیریت حساب‌ها و تغییر سیاست‌ها ثبت شوند.
- حجم فایل لاگ Security را افزایش دهید؛ اندازه پیش‌فرض روی سرورهای پرکار، مثل کنترل‌کننده دامین، ممکن است فقط رویدادهای مدت کوتاهی را نگه دارد.
- ساعت همه سیستم‌ها و تجهیزات را با NTP هماهنگ کنید. لاگ‌هایی که ساعتشان چند دقیقه اختلاف دارد، کنار هم گذاشتنشان را بسیار سخت می‌کند.
قدم دوم: لاگ‌ها را متمرکز کنید
لاگی که روی خود سیستم بماند، با هک شدن همان سیستم قابل پاک کردن است و بررسی ده سیستم جداگانه هم عملاً انجام نمی‌شود. لاگ‌ها را به یک سرور مرکزی بفرستید:
- تجهیزات شبکه و فایروال معمولاً با
syslogلاگ ارسال می‌کنند. - لاگ رایانه‌ها و سرورهای ویندوزی را می‌توان با Windows Event Forwarding یا عامل نرم‌افزار جمع‌آوری لاگ متمرکز کرد.
- ابزارهای متن‌باز مثل Wazuh یا Graylog برای شرکت‌های کوچک و متوسط نقطه شروع خوبی هستند؛ هم لاگ‌ها را جمع می‌کنند و هم امکان تعریف هشدار دارند.
دسترسی به سرور لاگ را محدود کنید تا حتی مدیران عادی نتوانند لاگ‌ها را پاک کنند و مدت نگهداری را بر اساس نیاز سازمان و الزامات قانونی حوزه کسب‌وکارتان تعیین کنید.
قدم سوم: هشدار و بررسی منظم
جمع کردن لاگ بدون نگاه کردن به آن فایده‌ای ندارد. برای چند رویداد حیاتی هشدار فوری تعریف کنید: اضافه شدن عضو به گروه‌های مدیریتی، پاک شدن لاگ، ورودهای ناموفق انبوه و حذف بکاپ. بقیه را در یک بررسی هفتگی کوتاه مرور کنید.
با چند هشدار دقیق شروع کنید. ده‌ها هشدار بی‌اهمیت در روز باعث می‌شود همه هشدارها، از جمله هشدار واقعی، نادیده گرفته شوند.
چک‌لیست
- سیاست ممیزی روی کنترل‌کننده‌های دامین و سرورها فعال است.
- حجم لاگ‌ها برای نگهداری چند هفته کافی است.
- ساعت همه سیستم‌ها با NTP هماهنگ است.
- لاگ‌ها روی یک سرور مرکزی و محافظت‌شده جمع می‌شوند.
- برای رویدادهای حیاتی هشدار تعریف شده است.
- بررسی هفتگی لاگ‌ها مسئول مشخص دارد.
کارشناسان ITPlus724 می‌توانند جمع‌آوری متمرکز لاگ و هشدارهای کلیدی را برای شبکه و سرورهای شما راه‌اندازی کنند تا نشانه‌های حمله زودتر دیده شود.