Мінімальний logging contract для NGFW: як розслідувати атаки та оптимізувати витрати

Чому стандартні налаштування логування NGFW недостатні для розслідування атак

Типові конфігурації логування Next-Generation Firewall (NGFW) за замовчуванням часто не надають достатньої деталізації або термінів зберігання, необхідних для повноцінного розслідування інцидентів кібербезпеки. Це створює значні прогалини у видимості, ускладнюючи реконструкцію подій під час атаки та ідентифікацію її джерела та впливу.

Наприклад, деякі вендори можуть за замовчуванням логувати лише початок сесії, що може бути недостатньо, оскільки програми можуть змінюватися протягом життєвого циклу сесії. Також, надмірно деталізоване логування всього трафіку може призвести до величезних обсягів даних, що ускладнює виявлення справді важливих подій та збільшує витрати на зберігання.

Галузеві стандарти, такі як NIST Special Publication 800-92, підкреслюють важливість ефективного логування та аналізу журналів як критичного компонента комплексної програми безпеки. Вони вказують на необхідність не лише збору, а й належного управління логами, включаючи їх зберігання та захист цілісності. Без цих елементів організація ризикує пропустити ознаки несанкціонованої активності.

Ключові типи журналів NGFW, необхідні для розслідування

Для ефективного розслідування кібератак на NGFW критично важливо збирати та аналізувати певний мінімальний набір типів журналів. Ці журнали надають інформацію, необхідну для розуміння того, що сталося, хто був залучений і як можна запобігти подібним інцидентам у майбутньому.

Основні типи журналів, які слід враховувати:

Журнали підключень (Connection Logs / Traffic Logs): Записують інформацію про дозволений та заблокований трафік, включаючи IP-адреси джерела та призначення, порти, протоколи та статус з'єднання. Це основа для розуміння мережевої активності.
Журнали загроз (Threat Logs): Фіксують виявлені та заблоковані загрози, такі як вторгнення, шкідливе програмне забезпечення, спроби експлуатації вразливостей.
Журнали фільтрації URL (URL Filtering Logs): Деталізують доступ до веб-ресурсів, дозволені та заблоковані URL-адреси, що допомагає виявити спроби фішингу або доступ до шкідливих сайтів.
Системні журнали (System Logs): Містять інформацію про стан самого NGFW, зміни конфігурації, перезапуски, помилки та стан апаратного забезпечення.
Журнали активності користувачів (User Activity Logs / Authentication Logs): Записують спроби входу (успішні та невдалі), дії адміністраторів та зміни облікових записів. Це важливо для відстеження компрометації облікових записів.

NIST SP 800-92 рекомендує встановлювати політики та процедури для управління журналами, включаючи їх пріоритезацію та створення інфраструктури для управління логами. Документація вендорів, таких як Fortinet та Palo Alto Networks, також наголошує на важливості комплексного логування та централізованого управління журналами для аналізу та звітності.

Визначення оптимального терміну зберігання журналів: баланс між ризиком та вартістю

Визначення оптимального терміну зберігання журналів є критичним рішенням для CISO, що вимагає балансу між вимогами безпеки, регуляторними зобов'язаннями та економічною доцільністю. Надмірне зберігання збільшує вартість, недостатнє — підвищує ризик неможливості розслідування.

Експертна позиція

Ігор Мироненко

Експерт з хмарної інфраструктури

Ефективне розслідування атак на NGFW вимагає не лише збору журналів, а й чіткого розуміння їхньої цінності та контексту. Часто організації зосереджуються на обсягах, забуваючи про якість. Наприклад, для виявлення складних APT-атак, які можуть використовувати легітимні протоколи, критично важливими є не лише журнали підключень, а й детальні логи фільтрації URL та активності користувачів, що дозволяють відстежувати аномалії в поведінці. Ключовим критерієм для оцінки налаштувань логування є здатність відтворити повний ланцюжок подій атаки, від початкового вектора до впливу. Якщо ваша команда не може чітко відповісти на питання «хто, що, коли, звідки і куди» для гіпотетичного інциденту, ваші налаштування потребують перегляду. Переконайтеся, що всі політики файрволу мають увімкнене логування, а не лише ті, що блокують трафік.

Профіль експерта →

Регуляторні вимоги:

HIPAA: Вимагає зберігання журналів аудиту та іншої документації, пов’язаної з PHI (Protected Health Information), протягом щонайменше шести років з дати створення або останнього використання.
GDPR: Не встановлює фіксованих термінів, але вимагає зберігати персональні дані лише стільки, скільки це необхідно для мети, для якої вони були зібрані. Організації повинні обґрунтувати та задокументувати свої політики зберігання. Для безпекових журналів часто вважається розумним термін 6-12 місяців.
PCI DSS 4.0: Вимагає зберігання 12 місяців історії журналів, при цьому 3 місяці мають бути легкодоступними для середовищ обробки даних платіжних карток.
CERT-In (Індія): Мандатує зберігання системних журналів протягом мінімум 180 днів.

Вартість зберігання та операційна складність:

Зберігання великих обсягів журналів може бути дорогим, особливо у хмарних середовищах, де тарифікація часто базується на обсязі даних та термінах зберігання. Для оптимізації витрат рекомендується використовувати багаторівневі стратегії зберігання (hot, warm, cold storage), переміщуючи старіші, рідше використовувані журнали до менш дорогих сховищ. Стиснення та дедуплікація даних також можуть значно зменшити витрати.

Типовий життєвий цикл інцидентів:

Більшість операційних розслідувань та налагодження покладаються на нещодавні дані журналів, часто в межах 14 днів. Однак для виявлення складних, тривалих атак, які можуть залишатися непоміченими місяцями, потрібні довші терміни зберігання. Компроміс полягає в тому, щоб забезпечити достатню глибину історії для криміналістичного аналізу, не перевантажуючи бюджет. Загальне правило — зберігати щонайменше 12 місяців даних для відповідності більшості регуляторних вимог та підтримки розслідувань.

Softline IT допомагає планувати й впроваджувати рішення у сфері кібербезпеки: від аудиту поточного стану до узгодженого плану змін.

Практичний чекліст для аудиту та налаштування логування NGFW

Для CISO, який прагне оптимізувати логування NGFW, цей чекліст допоможе оцінити поточний стан та визначити необхідні кроки для покращення видимості та спроможності реагування на інциденти.

Чекліст аудиту та налаштування логування NGFW

Типи журналів, що генеруються NGFW:
- Перевірте, чи генеруються та збираються наступні типи журналів: підключень (connection/traffic), загроз (threat), фільтрації URL (URL filtering), системні (system), активності користувачів (user activity/authentication).
Рівень деталізації логів:
- Переконайтеся, що журнали містять достатньо деталей: інформацію про джерело/призначення (IP-адреси, порти), протоколи, дії (дозволено/заблоковано), ідентифікатори користувачів, повні URL-адреси, виявлені загрози.
- Для Palo Alto Networks: переконайтеся, що логування відбувається наприкінці сесії для точнішого визначення програм.
Термін зберігання журналів:
- Визначте та задокументуйте політику зберігання для кожного типу журналів, враховуючи регуляторні вимоги (HIPAA, GDPR, PCI DSS) та внутрішні потреби розслідування.
- Розгляньте багаторівневе зберігання (hot, warm, cold storage) для балансу між доступністю та вартістю.
Механізми централізованого збору та агрегації логів:
- Переконайтеся, що всі журнали NGFW централізовано збираються в SIEM-системі або на спеціалізованому лог-сервері (наприклад, FortiAnalyzer для Fortinet, Panorama для Palo Alto Networks).
- Використовуйте захищені канали для передачі журналів (наприклад, шифрування, VPN).
Механізми захисту цілісності та конфіденційності логів:
- Забезпечте захист журналів від несанкціонованого доступу, зміни або видалення. Це може включати контроль доступу, хешування, цифрові підписи.
- Розгляньте шифрування журналів, особливо якщо вони містять конфіденційну інформацію.
Процедури регулярного аудиту та перегляду налаштувань логування:
- Встановіть регулярний графік перегляду політик логування та налаштувань NGFW для забезпечення їх актуальності та відповідності змінам у середовищі загроз та регуляторних вимогах.
- Перевіряйте, чи всі політики файрволу мають увімкнене логування.

Використані джерела

Теги

Cybersecurity NGFW та файрволи Кібербезпека Corporate Networks

Автор матеріалуМаксим ГончарРедактор напряму хмарної та серверної інфраструктуриПереглянути профіль →