Централизованное ведение журналов аудита

Единая система сбора, хранения и анализа событий безопасности из распределённой инфраструктуры. От настройки агентов до корреляции событий и соответствия требованиям регуляторов.

Зачем собирать логи в одном месте

Локальные журналы на каждом сервере создают фрагментированную картину происходящего. Когда инцидент затрагивает несколько систем, аналитик тратит часы на сбор данных из разных источников. Централизация решает эту проблему: все события поступают в единое хранилище с согласованным форматом и временными метками.

Я начинаю проектирование с определения источников данных. Это операционные системы, сетевое оборудование, приложения, базы данных, системы аутентификации. Каждый источник генерирует события в своём формате, и задача централизованной системы — нормализовать эти данные для последующего анализа.

Важный момент: время событий должно быть синхронизировано. Без NTP-сервера с единым источником времени корреляция событий из разных систем становится невозможной. Разница в несколько минут между логами firewall и application server может скрыть цепочку атаки.

Архитектура системы сбора логов

Настройка агентов сбора логов

Агент — это первый компонент в цепочке доставки логов. Его задача надёжно доставить события от источника до централизованного хранилища, даже при нестабильном сетевом соединении.

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/auth.log
    - /var/log/syslog
  fields:
    log_type: system
    environment: production
  multiline.pattern: '^d{4}-d{2}-d{2}'
  multiline.negate: true
  multiline.match: after

output.elasticsearch:
  hosts: ["log-server.local:9200"]
  protocol: https
  username: "filebeat_writer"
  password: "${ES_PASSWORD}"
  ssl.certificate_authorities: ["/etc/pki/root-ca.pem"]
  ssl.certificate: "/etc/pki/filebeat.pem"
  ssl.key: "/etc/pki/filebeat-key.pem"

queue.mem:
  events: 4096
  flush.min_events: 512
  flush.timeout: 10s

Нормализация и парсинг логов

Сырые логи содержат информацию в разном формате. Задача нормализации — привести их к единой структуре, где каждое событие имеет одинаковый набор полей: timestamp, source, event_type, severity, user, action, result.

Парсинг реализуется через Grok-паттерны или регулярные выражения. Я рекомендую тестировать паттерны на реальных логах перед развёртыванием — малейшая ошибка в regex может привести к потере событий или некорректной нормализации.

Корреляция событий для обнаружения инцидентов

Отдельное событие редко указывает на атаку. Корреляция объединяет события из разных источников во временном окне, выявляя паттерны, характерные для злонамеренной активности.

rule: brute_force_detection
description: Обнаружение подбора учётных данных
conditions:
  - event_type: auth_failure
  - count >= 10
  - time_window: 5m
  - group_by: [user, src_ip]
actions:
  - severity: high
  - alert: true
  - enrich:
      - geoip: src_ip
      - user_risk_score
  - notify: soc_team

Хранение и ротация логов

Объём логов растёт экспоненциально. Без стратегии хранения хранилище быстро переполнится, а поиск замедлится. Я применяю многоуровневую архитектуру hot/warm/cold для баланса между производительностью и стоимостью.

Ротация между уровнями автоматизируется через ILM-политики. Я настраиваю правила перехода на основе возраста индекса, размера и частоты доступа. Это снижает стоимость хранения без потери возможности расследования.

Защита журналов аудита от модификации

Логи — это доказательная база при расследовании инцидентов. Если злоумышленник может изменить или удалить записи, система аудита теряет ценность. Я применяю многоуровневую защиту целостности.

Соответствие требованиям регуляторов

Многие стандарты требуют централизованного сбора и хранения логов. Правильно настроенная система не только улучшает безопасность, но и упрощает прохождение аудитов.

Мониторинг самой системы логирования

Система сбора логов — критичный компонент инфраструктуры. Её отказ означает слепоту при инциденте. Я отслеживаю метрики доступности, задержки и целостности данных.

Централизованное ведение журналов аудита превращает разрозненные записи в единую доказательную базу. Ключ к успеху — надёжная доставка, согласованная нормализация, защищённое хранение и автоматизированная корреляция. Система должна работать незаметно, пока не потребуется расследование инцидента.