Günlükler, kuruluşunuzun BT ortamında gerçekleştirilen her şeyin kaydını içerir. Bunlar tipik olarak ağınızdaki tüm etkinlikler hakkında birinci elden bilgi veren, bir dizi zaman damgalı mesajdan oluşur.
Ağdaki her cihaz ve uygulama, ağ trafiğini izlemek için kullanılan NetFlow verileriyle birlikte günlük verileri oluşturur. Günlükler, güvenlik bilgileri ve olay yönetimi (SIEM) çözümleri için ana girdi kaynağıdır. Bir SIEM çözümü, temelde, güvenlik analizleri ve uyarıları, içeriden kaynaklanan risklerin azaltılmasına yönelik faaliyetler, yanıt otomasyonu, tehdit avcılığı ve uyumluluk yönetiminin de gerçekleştirildiği bir günlük yönetimi platformudur.
Günlük yönetimi, günlüklerin raporlar ve uyarılar oluşturmak üzere toplanmasını, depolanmasını, normalleştirilmesini ve analiz edilmesini içerir. Günlük yönetimi, günlüklerde gizlenen ağ etkinliği verilerinin anlamlı, eyleme geçilebilir güvenlik bilgilerine dönüştürülmesini sağlar. Günlük yönetimi, ağ ve güvenlik yöneticilerinin ağı izlemesi ve ağın güvenliğini sağlaması için bir ön koşuldur. SIEM günlüğü, olay günlüklerini kullanıcılar, varlıklar, tehditler ve güvenlik açıkları ile ilgili bağlamsal bilgilerle bir araya getirerek bunları algoritmalar, kurallar ve istatistikleri kullanarak işleme alır.
Günlük yönetimi zor bir iştir. Günlük verilerinin hacmi ve ağdaki cihaz sayısından bağımsız olarak, kuruluşların günlük verilerini gerçek zamanlı olarak toplamak ve işlemek için sağlam bir günlük yönetim mekanizmasına ihtiyacı vardır. Nihayetinde, günlük yönetiminin tüm ağ cihazlarını ve uygulamalarını barındıracak esneklikte olması gerekir.
Günlük toplama, günlük yönetiminin ilk adımıdır. SIEM çözümü, ağdaki çeşitli sistemlerden günlükleri ve olayları toplayarak bunları tek bir konumda bir araya getirir. Günlükler tipik olarak iş istasyonlarından, sunuculardan, etki alanı denetleyicilerinden, ağ cihazlarından, IDS'lerden, IPS'lerden, uç nokta güvenlik çözümlerinden, veritabanlarından, web sunucularından, genel bulut altyapısından ve bulut platformlarından toplanır.
Her ağda olay günlükleri, syslog'lar ve diğer uygulama günlükleri gibi çeşitli biçimlerde günlükler oluşturan farklı sistemler ve ortamlar bulunur. Günlük toplama araçlarının tüm ağ cihazlarını ve uygulamalarını barındıracak esneklikte olması gerekir.
Günlükler aşağıdaki şekillerde toplanabilir:
Aracı tabanlı günlük toplama, günlükleri oluşturan cihazlarda bir aracı dağıtımının yapılmasını gerektirir. Aracı yalnızca günlükleri toplayıp filtrelemekle kalmaz, aynı zamanda günlükleri günlük toplama sunucusuna iletmeden önce ayrıştırarak başka biçimlere dönüştürür.
Windows, Unix ve başka sistemlerin çoğu, günlükleri görüntüleme, döndürme veya yeniden yerleştirme için yüksek düzeyde ayrıcalıklar gerektiren dosya sistemi alanlarında oluşturur. Aracılar, güvenlikle ilgili bilgileri yerel sistemden toplamak ve ardından bunları ağ üzerinden merkezi bir toplama aracına iletilmeye uygun bir biçime dönüştürmek amacıyla geliştirilmiştir. Aracılar, günlük kaydı alt sistemini izlemek ve yönetmek için yeterli ayrıcalıklara sahip şekilde arka planda çalışacak ve günlükleri toplamak, işlemek, filtrelemek ve SIEM ana bilgisayarına asgari düzeyde ek yük oluşturacak biçimde göndermek için yalnızca gerekli sistem kaynaklarını kullanacak şekilde tasarlanmıştır.
Aracı tabanlı günlük toplama, günlüklerin WAN'lar ve güvenlik duvarları üzerinden toplanmasında kullanışlıdır. Ayrıca ağınızda DMZ'ler gibi kısıtlı bölgelerde bulunan cihazlardan günlüklerin toplanmasına yardımcı olur. Günlük toplama için bir aracı kullanılması, sunucunun CPU kullanımını azaltır ve böylece saniye başına olay oranı üzerinde daha fazla kontrol sağlanmış olur. Windows Server, NXLog ve OSSEC, günlük toplama için sıklıkla kullanılan aracılardan bazılarıdır.
Aracı, ağdaki veya alt ağdaki herhangi bir sunucuya ve her türden işletim sistemine dağıtılabilir. Bu, ilgili sunucuya bir hizmet olarak yüklenir. Aracı, günlükleri uzaktan toplar, önceden işler ve gerçek zamanlı ve kesintisiz bir biçimde sunucuya aktarır.
SIEM çözümlerinde, günlükleri toplamak için yaygın olarak kullanılan yöntem aracısız günlük toplamadır. Aracısız denetim, dinamik bulut ortamlarında maliyetleri düşürme, görünürlüğü sağlama ve dağıtım hızını artırma konularında kritik öneme sahiptir.
Buralarda, üçüncü taraf yazılım kurulumunun desteklenmediği yönlendiriciler, yazıcılar, anahtarlar ve güvenlik duvarları gibi katıştırılmış cihazlar bulunur. Yüksek düzeyde düzenlemelere tabi sistemlerde, ek yazılım kurulumuna izin verilmez. Bu durumlarda, bunun yerine aracısız günlük toplama yaklaşımı benimsenebilir ve böylece cihazların günlükleri uzak bir veri toplayıcısına göndermesi mümkün olur. Günlük toplama için aracıları dağıtılmaya zorlayan bir faktör de kurulmuş bir ağ bağlantısının olmamasıdır.
Aracısız günlük toplamada, cihazlar tarafından oluşturulan günlük verileri bir SIEM sunucusuna otomatik olarak ve güvenli bir şekilde gönderilir; günlükleri toplamak için ek bir aracıya ihtiyaç duyulmaması da cihazlar üzerindeki yükü azaltır.
Aracı tabanlı veya aracısız günlük toplamanın biri diğerinden daha iyi değildir. Seçim, kuruluşun ihtiyaçları dikkate alınarak yapılmalıdır. Dolayısıyla, hem aracı tabanlı hem de aracısız günlük toplama yöntemlerinin kullanılabileceği bir SIEM çözümüne sahip olmak en iyisidir.
Log360, tüm günlük yönetimi ve ağ güvenliği sınamaları için tek noktadan çözümünüzdür. Ağ güvenliğinizi yönetmenize, Active Directory denetimini ve genel bulut yönetimini kolaylıkla gerçekleştirmenize yardımcı olmak için, EventLog Analyzer, ADAudit Plus ve Cloud Security Plus'ı tek bir konsolda birleştiren tümleşik bir çözümdür. EventLog Analyzer, ağdaki tüm cihazlar ve uygulamalar ile uyumluluk için hem aracı tabanlı hem de aracısız günlük toplama mekanizmalarını destekleyecek biçimde geliştirilmiştir.
Aşağıdaki tabloda bazı önemli günlük kaynakları ve bu günlüklerin Log360'ta toplanması için hangi yöntemlerin kullanılabileceği listelenmiştir.
| Günlük kaynağı | Aracı tabanlı günlük toplama | Aracısız günlük toplama |
| Çekirdek Windows altyapısı |  |
|
| Veritabanı platformları |  |
|
| Uç nokta güvenliği çözümleri | |
|
| Güvenlik duvarları, NGFW'ler, IDS'ler ve IPS'ler | |
|
| Hipervizörler | |
|
| Linux ve Unix sistemleri | |
|
| Yönlendiriciler ve anahtarlar | |
|
| Güvenlik açığı tarayıcıları | |
|
| Web sunucuları | |
|
| Sunucular | |
|
| İş İstasyonları | |
|
| Bulut platformları | |
|
Log360 hakkında daha fazla bilgi edinin veya ürün ile ilgili sorularınız için support@log360.com adresinden destek ekibimize ulaşın.