日志审计（二）

最新推荐文章于 2024-09-13 16:45:26 发布

MingXS2021

最新推荐文章于 2024-09-13 16:45:26 发布

阅读量229

点赞数

分类专栏： # 安全产品文章标签：安全网络

本文链接：https://blog.csdn.net/qq_41610932/article/details/134415665

版权

安全产品专栏收录该内容

5 篇文章 0 订阅

订阅专栏

一、产品应用案例

从信息安全管理、合规性审计、云安全管理四个角度简述案例。

1.1企业信息安全管理

一家跨国电子商务公司，拥有分布在多个国家地区的数据中心和办公室，为确保信息系统安全管理，应用一款先进的日志审计产品，降低风险、增强安全性，并为其业务可持续发展提供保障。

实时监控与分析：这家跨国企业配置日志审计产品来收集各个数据中心的服务器、网络设备以及应用程序的日志，并将其集中存储在一个统一的安全信息和事件管理系统（SIEM）中。
异常活动检测：通过对日志数据进行相对实时的分析，检测异常活动和潜在安全威胁。例如，员工或非授权人员尝试访问受限资源或进行异常操作，生成警报并通知安全团队响应。
敏感数据保护：日志审计产品帮助跨国企业保护敏感数据。通过监控和审计数据访问日志，产品能够识别未经授权的数据访问行为，并生成相应的报告。
安全事件响应：当发生安全事件时，日志审计产品提供关键的信息和数据，帮助安全团队调查溯源。分析事件相关日志记录和活动轨迹，确定入侵途径、受影响的系统和数据，并支持恢复操作和加强安全防护。
合规性审计：跨国企业要遵守不同国家和地区的法规和合规性要求。日志审计产品定期生成合规性报告，包括数据访问审计、安全事件响应等内容，以满足监管机构或内部审计要求。

1.2合规性审计

金融行业，某机构使用产品记录和分析关键交易系统的日志，确保符合监管部门要求，同时通过产品提供报告和审计功能来简化合规性审计流程。减少人工工作量，提高审计效率。有助于银行或金融机构建立可靠的合规性框架，并增强客户对其业务的信任度。

日志记录与存储：记录关键交易系统的各类日志，包括用户登录日志、交易请求日志、系统操作日志等。实时收集并统一存储在安全的日志存储库中，确保完整性和可追溯性。
实时监控与分析：通过对关键交易系统日志实时监控分析，自动检测异常活动和潜在违规行为，例如，识别异常交易模式、高风险操作或未经授权的访问行为，并生成警报提示安全团队进一步调查与响应。
合规性报告与审计：银行或金融机构借助产品简化合规性审计流程。产品根据法规要求生成符合监管部门要求的合规性报告，包括访问控制审计、数据访问监测、安全事件响应等内容。
审计追溯与调查支持：提供审计追溯和调查支持。通过分析相关日志记录和活动轨迹，确定事件发生时间、涉及用户、影响系统等信息。
合规性自动化与持续监测：日志审计产品与其他安全管理工具集成，实现合规性自动化与持续监测。例如，将日志审计产品与安全信息和事件管理系统（SIEM）集成，实现对多个安全事件源综合监控和分析。

1.3云安全管理

针对云计算环境，某科技公司利用日志审计产品来管理其云端资源和应用。监控云端活动、审计访问记录，并自动化响应安全事件，以确保云端安全和合规性。

监控云端活动：收集和分析异构云服务商（如AWS、Azure、Google Cloud等）提供的日志数据（包括虚拟机实例的创建和销毁、存储桶的访问、网络流量日志等）。
审计访问记录：跟踪用户登录、权限变更、数据操作等活动，并生成可追溯审计日志，帮助公司了解谁、何时、以及以何种方式访问了云资源。
自动化响应安全事件：当检测到异常活动或违反安全策略行为时，触发预先设定的响应措施，例如自动封锁恶意IP地址、暂停受影响账号、通知安全团队等。
合规性与安全报告：根据PCI DSS、HIPAA、GDPR等合规标准生成报告，展示云端资源的安全状态和合规性情况，同时提供审计支持。

二、技术原理说明

2.1日志采集

基于agent代理收集；日志转发协议（如Syslog、CEF等）；接口远程抓取FTP、消息队列、数据库、监控系统；API接口

2.2日志存储

常用存储技术包含关系型数据库、NoSQL数据库（如Elasticsearch）、对象存储（如Amazon S3），专门用以日志管理存储系统（如Splunk）等。

2.3日志分析

常用技术包括文本分析、机器学习、规则引擎等。

这部分本质上是机器数据分析，顺便列举一些机器数据分析不同解决方案的说明比较：

数据库：关联分析能力强；Schema固定，数据导入成本高；无法处理大数据量。

Hadoop生态：数据处理功能强大；开发成本，批处理实时性差；本身不支持全文检索。

Elasticsearch：灵活解析JSON格式数据；关联分析弱，DSL计算分析能力不足，产品化程度不充分，二次开发能力不足。

2.4可视化展示

包括仪表盘、报表、图表等，支持用户自定义配置和交互式操作。常用技术：前端开发框架如React、Vue.js、数据可视化库如D3.js、ECharts等。

三、产品优化与定制

根据企业实际需求对日志审计产品进行定制化配置与优化，以满足不同行业、规模和特定安全要求下的实际应用需求。

3.1行业定制化

对特定行业合规性要求，可以根据相关法规和标准（如金融行业的PCI DSS、医疗行业的HIPAA等）定制日志审计产品的配置，确保满足行业规范的要求。
对于特定行业的安全事件类型和风险特征，定制化配置产品的威胁检测规则和警报通知机制，以适应行业特定的安全需求。

3.2规模定制化

针对不同规模的企业，根据其日志数据量、设备数量和用户规模等因素，进行相应的性能优化和扩展性配置，确保日志审计产品在大规模部署下的稳定性和高效性能。
通过水平扩展和负载均衡等技术手段，对日志存储和分析系统进行优化，以适应不同规模企业的需求。

3.3特定安全要求定制化：

针对特定安全要求（如数据隐私保护、网络流量监测、应用安全审计等），定制化配置产品的功能模块和安全策略，满足特定安全保障需求。
对于安全事件调查与溯源功能，根据对安全事件溯源的需求，定制化配置产品的查询和分析功能，提供更精细化的安全事件分析和溯源支持。

3.4用户权限定制化

针对企业内部的管理体系，根据不同用户角色和权限需求，定制化配置产品的用户权限控制功能，确保合理的日志数据访问和操作权限，防止数据泄露和滥用。

PS：目前各家产品权限控制都能做到，但细粒度是差很多的，例如：功能权限划分上、日志权限划分上。会出现权限低等级用户实际需要高等级用户的某个功能的情况。实际应用上和厂家PPT宣讲的差距较大；厂家本身也没有把各个使用角色和功能调度管理理清楚。同时在结合企业统一身份权限和认证管理系统时，都会出现问题，要不就是细粒度不够；

所以这种“用户权限定制化”的平台类产品（不局限于日志审计），还是有比较大的空间的。