La difficile impresa di gestire i log dei sistemi ICT

Transcript

1 La difficile impresa di gestire i log dei sistemi ICT Andrea Pasquinucci A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 1

2 Indice: Log, Audit e Tracciatura Log e Informazioni L'eredità di syslog Gestire i Log Qualche spunto su cosa dovremmo fare A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 2

3 Log I sistemi informatici registrano informazioni sul proprio funzionamento in archivi chiamati Log (file, tabelle di database ecc.) Di norma le informazioni registrate sono per il Debugging del sistema (spesso interpretabili solo da chi lo ha sviluppato) e non per il controllo delle attività (Audit) Ogni sistema registra informazioni di tipo diverso in formato diverso A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 3

4 Audit Per un efficace controllo dei sistemi (sicurezza/audit), è necessario Tracciare le attività più rischiose Correlare attività svolte su sistemi diversi ma logicamente connesse Archiviare le informazioni in modo sicuro e tale da poter eseguire ricerche Creare report statistici/di soglia/puntuali delle attività, e permettere attività di indagine A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 4

5 Compliance Praticamente tutte le leggi/normative/standard richiedono la tracciatura di eventi rilevanti, alcuni esempi: ISO PCI-DSS SoX Privacy: si veda in particolare l'ultima disposizione (Dicembre 2008) sugli amministratori di sistema A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 5

6 Tracciatura Per poter tracciare degli eventi, bisogna: Attivare il tracciamento degli eventi nel sistema operativo o applicazione Raccogliere i dati prodotti in archivi di eventi, ovvero in LOG A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 6

7 Soluzione...? Produrre, Archiviare i log ed estrarne le informazioni richieste I log NON ci sono! MA... E quando ci sono, le informazioni NON ci sono! E quando le informazioni ci sono, i dati sono TROPPI! E chi li legge? A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 7

8 Log e Informazioni Ci interessa sapere: Chi si è connesso ai sistemi (come, dove e quando) Cosa sta facendo, ovvero quali Applicazioni Dati Risorse sta utilizzando, leggendo, creando, modificando ecc. NB: In Inglese sono le 5 W: Who, how, Where, When, What A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 8

9 Sorgenti di Log Queste informazioni dovrebbero essere presenti nei log di Workstation Apparecchi di comunicazione (rete) Server E in ognuno di questi potremmo avere log di Sistemi Operativi Base dati Applicazioni A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 9

10 Esempio Tracciare le attività su di una applicazione con front-end web: Utente si autentica al front-end web I dati passano ad un application server Il quale accede con una utenza applicativa al DB A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 10

11 Esempio - 2 Problema: data una transazione sul DB, risalire all'utente che l'ha eseguita senza utilizzare i dati della transazione stessa A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 11

12 Esempio - 3 Problema: data una transazione sul DB, risalire all'utente che l'ha eseguita senza utilizzare i dati della transazione stessa Soluzione: correlare i log dei sistemi coinvolti nella transazione A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 12

13 Esempio - 4 Problema: data una transazione sul DB, risalire all'utente che l'ha eseguita senza utilizzare i dati della transazione stessa Soluzione: correlare i log dei sistemi coinvolti nella transazione Problemi: I log non ci sono I log non riportano le informazioni necessarie I log non sono correlabili A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 13

14 Esempio - 5 Attenzione: se manca anche solo un log/informazione nella catena, può risultare impossibile correlare gli eventi, o comunque farlo in modo inoppugnabile (ad esempio per usi forensi) A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 14

15 L'eredità di Syslog Per raccogliere i log di solito sono usati protocolli/formati (syslog, snmp ecc.) che non garantiscono: L'origine L'integrità La protezione La consegna dei messaggi. A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 15

16 L'eredità di Syslog - 2 Storicamente i log sono: In formato human-readable/free-format Con contenuto non strutturato Con contenuto di informazioni lasciato alla decisione/volontà/interesse del programmatore Pochi applicativi riportano nei log i Chi/Quando/ Dove/Come/Cosa necessari per l'audit (e sono applicativi specifici per l'audit ovviamente) Di solito i log riportano solo messaggi di errore A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 16

17 Gestione dei log Assumiamo comunque che i log siano generati, dobbiamo: Raccogliere i log in maniera efficiente e sicura come garantire Autenticità, Integrità, Completezza, Riservatezza e Tempestività? Archiviare i log in modo efficace e tale da facilitare le ricerche dove archiviare giornalmente da decine di GB a decine di TB? come strutturare i dati in modo da permettere ricerche efficienti? A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 17

18 Gestione dei log Correlare i log di sorgenti diverse per l'estrazione delle informazioni di interesse per garantire che nei log siano riportate tutte le informazioni necessarie è spesso necessario modificare il codice delle applicazioni in modo che queste le inseriscano nei log Manca uno Standard che indichi come (cosa e in che formato) il software debba produrre log utili all'audit e non solo al Debugging A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 18

19 In pratica oggi... Per generare i log possiamo attivare il Debugging di OS, DB, Applicazioni Facendo attenzione a cosa si traccia Facendo attenzione a quanti dati si generano Oppure installare Applicazioni di Audit Poi trasferiamo i Log su Collettori di Log con procedure ad-hoc e protocolli sicuri Firma digitale sui file di log (fatta con device HW) Trasporto cifrato Garanzia e verifica della consegna A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 19

20 La Soluzione Minimale Archiviamo i Log in Storage Dedicato sicurezza e controllo degli accessi ai Log garanzia di non modifica né cancellazione dei Log in archivio cancellazione al termine del periodo di Retention In caso di richiesta è possibile trovare e produrre il Log relativo alla giornata/sistema richiesto Problema: per sistemi IT non piccolissimi è impossibile correlare, fare report generali periodici o ricercare informazioni A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 20

21 Nuove Soluzioni Oltre che nello Storage Dedicato (backup), i Log vengono caricati in una Piattaforma di Log Management Formattazione Log in formato standard comune Estrazione delle 5 W Aggiunta di informazioni di arricchimento (anagrafiche ecc.) Classificazione eventi A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 21

22 Nuove Soluzioni - 2 Archiviazione Log Formattati in DB specializzati architetture distribuite facilmente espandibili sino a centinaia di TB (cluster share-nothing) caricamento ed interrogazione dati in parallelo tempi di interrogazione praticamente indipendenti dalla quantità di dati archiviati (ma dipendenti dalla quantità di dati risultanti dalla query) in genere dell'ordine di qualche secondo caricamento sino ad una decina di TB al giorno alta affidabilità, non modificabilità dei dati, cancellazione dei dati al termine del periodo di retention A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 22

23 Conclusioni La raccolta dei Log è importante per Compliance Sicurezza Audit ed in generale per il Controllo delle attività sui sistemi ICT Ma è necessario Generare Log con le informazioni di Audit Dotarsi di una infrastruttura dedicata alla loro gestione A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 23

24 Riferimenti A. Pasquinucci, The Difficult Art of Managing Logs, in Computer Fraud & Security, October 2007 A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 24

25 Copyright e Licenza Queste slide sono copyright Andrea Pasquinucci Queste slide sono distribuite sotto la licenza Creative Commons by-nc-nd 2.5: attribuzione, non-commerciale, non-opere-derivate A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 25

26 Grazie Andrea Pasquinucci pasquinucci-at-ucci.it a.pasquinucci-at-integra-group.it A. Pasquinucci -- Gestire i Log -- 07/05/ Pag. 26