科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道CIO关注:降低工作量 系统日志好帮手

CIO关注:降低工作量 系统日志好帮手

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

系统日志是企业CIO的很好的帮手。充分利用系统日志功能,可以大大的降低CIO的工作量。当然,笔者这里指的系统日志不是操作系统的系统日志。这个太过于基础,往往不需要企业的CIO去关注。

作者:eNet硅谷动力 来源:eNet硅谷动力 2008年12月1日

关键字: 企业安全 CIO

  • 评论
  • 分享微博
  • 分享邮件

 

  系统日志是企业CIO的很好的帮手。充分利用系统日志功能,可以大大的降低CIO的工作量。当然,笔者这里指的系统日志不是操作系统的系统日志。这个太过于基础,往往不需要企业的CIO去关注。

  笔者这里讲的系统日志,是指一些高端设备的系统日志,如企业防火墙、路由器等等。笔者现在就以Cisco的防火墙为例,谈谈如何做好日志管理,让其成为CIO日常工作的好帮手。

  另外一些CIO也会为低下员工的知情不报所烦恼。如笔者手下的网络管理员,只有到网络遇到重大问题,如防火墙瘫痪的时候,才会向我汇报这个事故。这让笔者措手不及。所以,CIO虽然不会到那边去调试配置网络设备,但是,仍然必须要对网络设备的运行信息有所了解。当发生错误时,CIO能够预先知道征兆。这也是CIO评估自己部门员工的一个重要标准。

  一、让日志发送到CIO的手边

  若让CIO不定时的到相关设备上去查看日志信息,这显然不是很现实的。而且,CIO若不能够及时的知道防火墙的运行状况,我们就不能够及时的采取措施。如别人试图利用VPN服务器非法访问企业内部的网络。这些都会在防火墙日志上留下痕迹。CIO若不能够从防火墙日志上得知这些信息的话,则就不能够采取相关的措施,来预防下次的攻击。

  故日志管理的第一步,就是希望日志能够发送到CIO指定的地方。如此的话,CIO就不需要跑到每个设备那里去查看日志信息。可以在一个统一的平台上查看数十台设备的日志信息。

  对于Cisco防火墙来说,可以把日志信息发送到指定的五个管理平台中。一是PDM日志,这是防火墙自带的系一个日志平台。二是控制台。一般情况下我们管理配置防火墙的时候,不会跑到机房中去,而是利用专用电缆把一台主机当作控制台来管理防火墙。所以,也可以配置防火墙日志,让其把日志信息同步传送到控制台中。三是Telnet控制台。大部分时候,我们都喜欢通过Telnet来远程管理网络设备。此时,CIO也可以让防火墙把系统日志传送到Telent平台上来。四是日志服务器。若企业网络比较复杂的话,可以在企业内部网络中专门设置一个日志服务器,用来收集各个设备的日志信息。五是SNMP管理工作站。其实,这是日志服务器的一个简化工作站。

  笔者现在采用的是第五种方式,即让防火墙把相关的日志信息传送到笔者所指定的一个SNMP管理工作站。如此设置,笔者在没有连接到相关设备上,就可以及时的了解网络设备的运行状态。毕竟像PDM日志、控制台、Telnet缓冲区等等都需要连接到设备上才能够获得日志信息。而若采用日志服务器的话,则还要有一定的硬件投资。故笔者认为,采用SNMP工作站的方式,是一种价廉物美的选择。他可以满足大部分CIO日常工作的需要。

  在Cisco防火墙中,可以利用Logging On命令,让系统日志消息传送到CIO所指定的位置。也可以用No Logging On命令,让防火墙不发送系统日志信息。另外,在防火墙调试的时候,我们希望日志信息能够显示在控制台上。此时,就可以利用Logging Console命令。

  二、CIO只需要知道自己想知道的信息

  一般来说,系统日志会记录很多内容。其中包括一些正常的信息。如有哪个用户访问了哪个网站等等。但是,作为CIO来说,其实并不需要关注所有的信息。所以,我们也希望,各个网络设备能够对日志信息进行过滤,只发送一些关系到系统正常运行的日志信息。而不是“大事不汇报,小事天天报”。为此,我们可以通过系统日志的级别来进行控制。

  当日志信息被发送到指定的管理平台时,指示服务器通过什么管道发送信息时非常重要的。在网络设备中,通常有一个日志组件,他就是决定服务器将其接收到的日志信息发送到何处去,也就是说写到哪个文件中去的管道。

  不过,笔者在实际工作中,则希望采用日志级别来对是否需要发送日志进行控制。不同的严重性级别被附加于日志信息上。当级别达到某个程度的时候,网络设备就需要把这个日志信息发送到笔者制定的SNMP管理平台上。

  默认情况下,Cisco防火墙其日志级别分为8类。如第六类是Informational。这个级别的日志信息主要记录着防火墙的日常工作信息。如用户平时访问了哪些网站,当前正常的连接有多少等等。这些信息的话,对于CIO来说,往往没有多大的实际价值。笔者现在所关心的是一些三类级别以下的日志信息。在Csico防火墙中,第三个级别表示错误信息,第二个级别表示危机状态,第一个级别表示立即采取行动,第零个级别表示系统不能使用。这些日志信息,才是我们CIO需要关注的内容。其他一些简单的信息,就让企业网络管理员去操心吧。

  以上是系统日志的默认级别。在有需要的情况下,我们还可以改变这个级别,以符合我们信息收集的需要。如在Cisco防火墙6.3以上的版本中,就可以修改某个特定的日志信息发布时的级别,以及禁用特定的日志信息等等。如用户访问QQ等娱乐性网站,其安全级别可能没有达到错误信息的级别,一般是不会发送到我们指定的平台。但是,我们可以利用Logging命令,让这些特定的日志信息也发送到特定的平台上。故,在一些版本比较高的网络设备上,CIO还可以利用命令指定一些自己感兴趣的日志信息 。

  三、了解各个日志的结构

  网络设备毕竟不是人脑,对日志的描述不是很生动。为了让网络设备自己收集运行状态信息,往往会给其设置固定的格式。CIO要想知道这些信息所表示的含义,往往需要先去了解日志的格式。一般来说,同一个品牌的产品,虽然其产品类型不同,但是,其格式往往是固定的。

  如Cisco公司其提供的日志格式如下:

  %PIX –leve –message-number: message-tesx.

  一般情况下,日志信息都有其固定的开头符号。在Cisco的产品中,一般都是以%开头。参数PIX表示防火墙产生消息的功能代码,即这条日志消息对应的是防火墙中的哪个功能,如是访问控制列表发出的,还是VPN服务器发出的。参数-level表示日志消息级别的严重性,这个数字越小说明日志所反映的信息越严重。参数-Message-Number表示这个信息所对应的唯一数字标号。一般我们在遇到难以解决的问题时,可以利用这个数字编号去网络上寻求帮助。而参数Message-Text,则是对情况的一般性描述。有时候,这个描述中,会显示IP地址、端口以及用户名等有用信息。

  笔者把一些网络设备日志的固定格式做成了小卡片。当有需要的时候,可以及时拿过来看。不过当你看多了,就自然而然会熟悉这个格式。这在刚开始接触一个牌子的设备的时候,非常有用。

  可见,让网络设备自动报警,把日志信息传送到CIO的手边,也不是什么难事。这不仅可以节省CIO的工作时间,而且可以防止下面的员工知情不报。这一举多得的事情,相信很多企业CIO会乐此不彼。若大家有这方面的需要,可以根据这篇文章的内容,配置自己喜欢的日志管理模式。日志管理其实很简单,确定日志的显示位置、选择自己需要查看的日志信息、系统日志的显示格式。做好这三项工作,日志管理的难题也就迎刃而解了。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章