Konfigurieren der Systemprotokollierung für Sicherheitsgeräte

Protokolle der Steuerungsebene und der Datenebene

Junos OS generiert separate Protokollmeldungen, um Ereignisse aufzuzeichnen, die auf der Steuerungs- und Datenebene des Systems auftreten.

• Die Protokolle der Steuerungsebene, auch Systemprotokolle genannt, enthalten Ereignisse, die auf der Routing-Plattform auftreten. Das System sendet Ereignisse der Steuerungsebene an den eventd Prozess auf der Routing-Engine, der die Ereignisse dann mithilfe von Junos OS-Richtlinien, durch Generieren von Systemprotokollmeldungen oder beides verarbeitet. Sie können Protokolle der Steuerungsebene an eine Datei, ein Benutzerterminal, eine Routing-Plattform-Konsole oder einen Remote-Computer senden. Um Protokolle der Steuerungsebene zu generieren, verwenden Sie die syslog Anweisung auf Hierarchieebene [system] .

• Die Data Plane-Protokolle, die auch als Sicherheitsprotokollebezeichnet werden, enthalten in erster Linie Sicherheitsereignisse, die innerhalb der Data Plane verarbeitet werden. Sicherheitsprotokolle können im Text- oder Binärformat vorliegen und lokal gespeichert (Ereignismodus) oder an einen externen Server gesendet werden (Stream-Modus). Das Binärformat ist für den Streammodus erforderlich und wird empfohlen, um Protokollspeicherplatz im Ereignismodus zu sparen.

  Beachten Sie Folgendes:

  • Sicherheitsprotokolle können lokal (auf der Box) oder extern (extern) gespeichert werden, aber nicht beides.

  • SRX1400-, SRX1500-, SRX3400-, SRX3600-, SRX4100-, SRX4200-, SRX4600-, SRX5400-, SRX5600- und SRX5800-Geräte verwenden standardmäßig den Stream-Modus. Informationen zum Angeben des Binärformats und eines externen Servers finden Sie unter Konfigurieren von externen binären Sicherheitsprotokolldateien.

    HINWEIS:

    Protokolle werden möglicherweise verworfen, wenn Sie die Protokollierung im Ereignismodus auf diesen Geräten konfigurieren.

    Ab Junos OS Version 15.1X49-D100 ist der Standardmodus für SRX1500 Gerät der Stream-Modus. Vor Junos OS Version 15.1X49-D100 war der Standardmodus für SRX1500 Gerät der Ereignismodus.

  • Abgesehen von Junos OS Version 18.4R1, 18,4R2, 19.1 und 19.2R1 ist in allen anderen Versionen ab Junos OS Version 18.3R3 der Standardprotokollierungsmodus für SRX300-, SRX320-, SRX340-, SRX345-, SRX550- und SRX550M-Geräte der Stream-Modus. Ereignisse der Datenebene werden ähnlich wie Ereignisse der Steuerungsebene in Systemprotokolldateien geschrieben. Informationen zum Angeben des Binärformats für die Sicherheitsprotokolle finden Sie unter Konfigurieren von externen binären Sicherheitsprotokolldateien.

  Ab Junos OS Version 20.2R1 unterstützen wir Escape in der Weiterleitung von Stream-Protokollen und On-Box-Berichterstellung, um Analysefehler zu vermeiden. Der Stream-Modus unterstützt Escape-In sd-syslog und binary Formate, wenn Protokolle nicht an eventd die Verarbeitung gesendet werden. Für die Protokolle, die an eventd den Prozess gesendet werden, empfehlen wir, eine escape Option nicht zu aktivieren, da der eventd Prozess die Escape-Funktion für das Strukturprotokoll aktiviert hat. Der Ereignismodus unterstützt Escape nur im binary Format. Standardmäßig ist die escape Option deaktiviert. Sie müssen die escape Option mit dem set security log escape Befehl aktivieren.

Redundanter Systemprotokollserver

Der für Remoteserver vorgesehene Datenverkehr zur Protokollierung des Sicherheitssystems wird über die Ports der Netzwerkschnittstelle gesendet, die zwei gleichzeitige Systemprotokollziele unterstützen. Jedes Systemprotokollierungsziel muss separat konfiguriert werden. Wenn zwei Systemprotokollzieladressen konfiguriert sind, werden identische Protokolle an beide Ziele gesendet. Während auf jedem Gerät, das die Funktion unterstützt, zwei Ziele konfiguriert werden können, ist das Hinzufügen eines zweiten Ziels in erster Linie als redundante Sicherung für eigenständige und aktive/Backup-konfigurierte Chassis-Cluster-Bereitstellungen nützlich.

Die folgenden redundanten Serverinformationen sind verfügbar:

• Leichtigkeit: cron

• Beschreibung: Cron-Planungsprozess

• Schweregrad (vom höchsten zum niedrigsten Schweregrad): debug

• Beschreibung: Software-Debugging-Meldungen

Überblick

Die integrierte Protokollierung des Datenverkehrs auf Solid-State-Laufwerken (SSDs) unterstützt acht externe Protokollserver oder Dateien.

Es wird eine All-in-One-XML-Datei hinzugefügt, die alle Informationen zu den Datenverkehrsprotokollen enthält. Die XML-Datei generiert auch alle Protokollierungs-Headerdateien und Dokumente zum Datenverkehrsprotokoll.

Ein neuer Prozess (Daemon) namens Local Log Management Daemon (llmd) wird in Services Processing Cards 0 (SPCs0) unterstützt, um die Protokollierung des Datenverkehrs vor Ort zu verarbeiten. Der Datenverkehr, der von eingeschobenen SPCs erzeugt wird, wird in Datenverkehrsprotokollen aufgeführt. Der llmd speichert diese Protokolle auf der lokalen SSD. Verkehrsprotokolle werden in den vier verschiedenen Formaten gespeichert. Erfahren Sie Tabelle 1 mehr über die Protokollformate.

Der On-Box-Berichterstellungsmechanismus ist eine Erweiterung der vorhandenen Protokollierungsfunktion. Die vorhandene Protokollierungsfunktion wird geändert, um Systemdatenverkehrsprotokolle zu sammeln, die Protokolle zu analysieren und Berichte über diese Protokolle in Form von Tabellen mithilfe der CLI zu generieren. Die On-Box-Berichtsfunktion soll eine einfache und benutzerfreundliche Oberfläche für die Anzeige von Sicherheitsprotokollen bieten. Die On-Box-Berichte sind einfach zu verwendende J-Web-Seiten verschiedener Sicherheitsereignisse in Form von Tabellen und Diagrammen. Die Berichte ermöglichen es dem IT-Sicherheitsmanagement, Sicherheitsinformationen auf einen Blick zu erkennen und schnell über die zu ergreifenden Maßnahmen zu entscheiden. Die Protokolle werden (basierend auf Sitzungstypen) für Funktionen wie Bildschirm, IDP, Inhaltssicherheit und IPSec gründlich analysiert.

Sie können Filter für die Protokolldaten definieren, die auf der Grundlage der folgenden Kriterien gemeldet werden:

• top <number>—Mit dieser Option können Sie Berichte für die wichtigsten Sicherheitsereignisse erstellen, wie im Befehl angegeben. Zum Beispiel: Top 5 IPS-Angriffe oder Top 6 URLs, die durch Content Security erkannt wurden.

• in-detail <number>—Mit dieser Option können Sie detaillierte Protokollinhalte generieren.

• in-interval <time-period>—Mit dieser Option können Sie die Ereignisse generieren, die zwischen bestimmten Zeitintervallen protokolliert werden.

• summary: Mit dieser Option können Sie die Zusammenfassung der Ereignisse generieren. Auf diese Weise können Sie den Bericht an Ihre Bedürfnisse anpassen und zeigen nur die Daten an, die Sie verwenden möchten.

Die maximale Zahl innerhalb des Intervalls, die die Anzahl in Intervallen anzeigt, ist 30. Wenn eine große Dauer angegeben ist, werden die Leistungsindikatoren so zusammengestellt, dass das maximale In-Intervall kleiner als 30 ist.

Sowohl "in-detail" als auch "summary" haben die Option "all", da verschiedene Tabellen unterschiedliche Attribute haben (z. B. Sitzungstabelle hat nicht das Attribut "reason", Content Security jedoch schon), hat die Option "all" keinen Filter außer Startzeit und Stoppzeit. Wenn es einen anderen Filter als Startzeit und Stoppzeit gibt, wird ein Fehler angezeigt.

Zum Beispiel: root@host> Sicherheitsprotokollbericht detailliert anzeigen, alle Gründe Grund1

Die Anwendungs-Firewall-Protokolle für die Anwendungs- und Benutzersichtbarkeit listen Anwendungen und verschachtelte Anwendungen auf. Wenn in den Protokollen dieser Funktionen verschachtelte Anwendungen aufgeführt sind, werden verschachtelte Anwendungen in J-Web aufgelistet. Wenn in den Protokollen verschachtelte Anwendungen als nicht zutreffend oder unbekannt aufgeführt sind, werden nur die Anwendungen in J-Web aufgelistet.

Verwenden Sie die folgenden CLI-Befehle für die Anwendungs- und Benutzersichtbarkeit für alle Anwendungen und verschachtelten Anwendungen:

• Für die beste verschachtelte Anwendung nach Anzahl—show security log report top session-close top-number <number> group-by application order-by count with user

• Für die am besten verschachtelte Anwendung nach Volumen—show security log report top session-close top-number <number> group-by application order-by volume with user

• Für die meisten Benutzer nach Anzahl mit verschachtelter Anwendung:show security log report top session-close top-number <number> group-by user order-by count with application

Die On-Box-Berichterstellungsfunktion ist standardmäßig aktiviert, wenn Sie die werkseitig voreingestellten Konfigurationen auf die Firewall der SRX-Serie mit Junos OS Version 15.1X49-D100 oder höher laden.

Wenn Sie ein Upgrade Ihrer Firewall der SRX-Serie von einer Junos OS-Version vor Junos OS 15.1X49-D100 durchführen, übernimmt die Firewall der SRX-Serie die vorhandene Konfiguration, und die On-Box-Berichtsfunktion ist standardmäßig deaktiviert. Sie müssen den set security log report Befehl und den set security log mode stream Befehl konfigurieren, um die On-Box-Berichtsfunktion auf dem Gerät zu aktivieren, das aktualisiert wird.

Ab Junos OS Version 19.3R1 enthält die werkseitige Standardkonfiguration keine On-Box-Berichtskonfiguration zur Verlängerung der Lebensdauer des Solid-State-Laufwerks (SSD). Sie können die On-Box-Berichtsfunktion aktivieren, indem Sie den CLI-Befehl in [edit security log] der set security log reportHierarchie konfigurieren.

Informationen zum Ausführen dieser Aufgabe auf der J-Web-Benutzeroberfläche finden Sie im J-Web-Benutzerhandbuch für Geräte der SRX-Serie .

Ab Junos OS Version 21.3R1 werden die On-Box-Berichtsprotokolle im Memory File System (MFS) gespeichert, wenn keine externe SSD vorhanden ist. Die maximale Anzahl von Protokollen, die Sie auf MFS speichern können, ist geringer als die, die Sie auf einer externen SSD speichern können. Dies verhindert Speichererschöpfung und -ausfälle. In MFS gespeicherte Protokolle werden nach einem Neustart des Geräts oder einem Stromausfall nicht beibehalten. Sehen Sie sich Tabelle 2 die Anzahl der Protokolle an, die in On-Box- und Off-Box-Berichten aufgezeichnet wurden.

Nachdem die Protokollmeldung aufgezeichnet wurde, wird das Protokoll in einer Protokolldatei gespeichert, die dann zur weiteren Analyse (auf SRX300-, SRX320-, SRX340-, SRX345- und SRX550M-Geräten) oder zur weiteren Analyse (auf SRX1500-, SRX4100- und SRX4200-Geräten) auf der SSD-Karte gespeichert wird.

Die Vorteile dieser Funktion sind:

• Berichte werden lokal auf der Firewall der SRX-Serie gespeichert, und es sind keine separaten Geräte oder Tools für die Speicherung von Protokollen und Berichten erforderlich.

• Bei den On-Box-Berichten handelt es sich um benutzerfreundliche J-Web-Seiten verschiedener Sicherheitsereignisse in Form von Tabellen und Diagrammen.

• Bietet eine einfache und benutzerfreundliche Oberfläche zum Anzeigen von Sicherheitsprotokollen.

• Die generierten Berichte ermöglichen es dem IT-Sicherheitsmanagement, Sicherheitsinformationen auf einen Blick zu erkennen und schnell über die zu ergreifenden Maßnahmen zu entscheiden.

Die On-Box-Berichterstellungsfunktion unterstützt:

• Generieren von Berichten auf der Grundlage der Anforderungen. Zum Beispiel: Anzahl oder Volumen der Sitzung, Protokolltypen für Aktivitäten wie IDP, Content Security, IPsec VPN.

• Erfassung von Echtzeitereignissen innerhalb eines bestimmten Zeitraums.

• Erfassung aller Netzwerkaktivitäten in einem logischen, organisierten und leicht verständlichen Format basierend auf verschiedenen CLI-spezifischen Bedingungen.

On-Box-Berichtsfunktionen

Die On-Box-Berichterstellungsfunktion unterstützt:

• Sqlite3 support as a library– sqlite3 wurde vor Junos OS Version 15.1X49-D100 nicht unterstützt. Ab Junos OS Version 15.1X49-D100 wird eine SQL-Protokolldatenbank (SQLite Version 3) von den Daemons verwendet, die auf der RE ausgeführt werden, sowie andere potenzielle Module zum Speichern von Protokollen auf Firewalls der SRX-Serie.

  In Junos OS Version 19.4R1 haben wir die On-Box-Protokollierungsdatenbank aktualisiert, um die Abfrageleistung zu verbessern.

• Running llmd in both Junos OS and Linux OS—Der Weiterleitungs-Daemon (flowd) dekodiert den Datenbankindex aus Binärprotokollen und sendet sowohl den Index als auch das Protokoll an den lokalen Protokollverwaltungs-Daemon (llmd).

  Auf SRX300-, SRX320-, SRX340-, SRX345- und SRX550M-Geräten kann llmd in Junos OS ausgeführt werden. Auf SRX1500-, SRX4100- und SRX4200 Geräten läuft llmd unter Linux. Damit llmd sowohl unter Junos OS als auch unter Linux OS ausgeführt werden kann, wird das llmd-Codeverzeichnis von der Linux-Seite auf die Junos OS-Seite verschoben.

• Storing of logs into specified table of the sqlite3 database by llmd— Ein neuer Syslog-Daemon wird eingeführt, um lokale Protokolle auf Firewalls der SRX-Serie zu sammeln und in der Datenbank zu speichern.

  Ab Junos OS Version 19.3R1 speichert Junos OS Protokolle in mehreren Tabellen statt in einer einzelnen Tabelle in einer Datenbankdatei. Jede Tabelle enthält den Zeitstempel des ältesten und des neuesten Protokolls. Wenn Sie eine Abfrage basierend auf der Start- und Endzeit initiieren, findet llmd die neueste Tabelle, um Berichte zu generieren.

  Wenn z. B. eine Tabelle einer Datenbankdatei, die in den letzten 10 Stunden generiert wurde, 5 Millionen Protokolle enthält und Sie einen Bericht erstellen möchten, sollten Sie mehr als eine halbe Stunde dafür aufwenden. Ab Junos OS Version 19.3R1 wird eine Tabelle in mehrere Tabellen aufgeteilt, und jede Tabelle enthält 0,5 Millionen Protokolle. Um den gleichen Bericht zu erstellen, reicht eine Tabelleninformation aus.

  Wir empfehlen Ihnen, Abfragen mit einer kürzeren Zeit durchzuführen, um eine bessere Leistung zu erzielen.

  • Database table definition—Bei Sitzungsprotokollen sind die Datentypen Quelladresse, Zieladresse, Anwendung, Benutzer usw. Bei Protokollen, die sich auf Sicherheitsfunktionen beziehen, sind die Datentypen "Angriffsname", "URL", "Profilprotokoll" usw. Daher sind verschiedene Tabellen so konzipiert, dass sie unterschiedliche Arten von Protokollen speichern, um die Leistung zu verbessern und Speicherplatz zu sparen. Die Firewall der SRX-Serie erstellt für jeden Protokolltyp eine Datenbanktabelle, wenn Protokolldaten aufgezeichnet werden.

    Jeder Datenbanktabellentyp hat seine maximale Datensatznummer, die gerätespezifisch ist. Wenn die Nummer des Tabellendatensatzes den Grenzwert erreicht, ersetzen neue Protokolle die ältesten Protokolle. Junos OS speichert Protokolle in einer Firewall der SRX-Serie, in die aktiver Datenverkehr geleitet wird.

    Ab Junos OS Version 19.3R1 können Sie mehrere Tabellen in einer Datenbankdatei erstellen, um Protokolle zu speichern. Sie können die Kapazität zum Speichern von Protokollen in einer Tabelle definieren.

    Wenn der Grenzwert für die Protokollnummer die Tabellenkapazität überschreitet, speichert Junos OS die Protokolle in der zweiten Tabelle. Wenn beispielsweise der Grenzwert für Protokolle in Tabelle 1 die Tabellenkapazität überschreitet, speichert Junos OS die Protokolle in Tabelle 2.

    Wenn der Grenzwert für die Protokollnummer die letzte Tabelle von Datei 1 überschreitet, speichert Junos OS die Protokolle in Tabelle 1 von Datei 2. Tabelle n ist z. B. die letzte Tabelle von Datei 1. Wenn die Protokolle die Tabellenkapazität überschreiten, speichert Junos OS die Protokolle in Tabelle 1 von Datei 2.

    Um sofort wirksam zu werden, nachdem Sie die Tabellennummer geändert haben, verwenden Sie clear security log report den Betriebsbefehl.

  • Database table rotation—Jeder Datenbanktabellentyp hat seine maximale Datensatznummer, die gerätespezifisch ist. Wenn die Nummer des Tabellendatensatzes den Grenzwert erreicht, ersetzen neue Protokolle die ältesten Protokolle.

    Im Folgenden Tabelle 3 wird die Dateigrößenkapazität der Datenbank beschrieben:

    Tabelle 3: Kapazität der Datenbankdateigröße

    Geräte	Session	Filtern	IDP	Content-Sicherheit	IPsec-VPN	HIMMEL
    SRX300, SRX320, SRX340, SRX345 und SRX550M	1.8G	0.18G	0.18G	0.18G	0.06G	0.18G
    SRX1500	12G	2.25G	2.25G	2.25G	0.75G	2.25G
    SRX4100 und SRX4200	15G	2.25G	2.25G	2.25G	0.75G	2.25G
    SRX4600	22,5 G	6G	6G	6G	0.75G	2.25G
    Virtuelle Firewall vSRX	1.8G	0.18G	0.18G	0.18G	0.06G	0.18G

• Calculating and displaying the reports that are triggered by CLI—Die Berichte aus der Datenbank werden von der CLI als Schnittstelle empfangen. Mithilfe der CLI können Sie die Berichtsdetails berechnen und anzeigen.

Tabellenauswahl

Wenn Sie einen Bericht aus mehreren Tabellen generieren möchten, sortiert llmd die Tabellen nach dem Zeitstempel und wählt die Tabellen entsprechend der angeforderten Start- und Stoppzeit aus.

Beispielsweise gibt es drei Tabellen, nämlich Tabelle 1 (1 bis 3), Tabelle 2 (3 bis 5) und Tabelle 3 (6 bis 8). 1 bis 3, 3 bis 6 und 6 bis 8 geben den Zeitstempel der neuesten und ältesten Protokolle an. Wenn Sie einen Bericht von 4 bis 6 anfordern, generiert Junos OS einen Bericht aus Tabelle 2 und Tabelle 3.

Lebensdauer der Tabelle

Sie können die Lebensdauer der Tabelle bestimmen, indem Sie den Befehl konfigurieren set security log report table-lifetime . Junos OS entfernt die Tabelle, nachdem die Tabellenidentifikationszeit die Tabellenlebensdauer überschritten hat. Wenn Sie z. B. die Tabellenlebensdauer auf 2 konfigurieren und das aktuelle Datum der 26. Juli 2019 ist, bedeutet dies, dass am 24. Juli 2019 00:00:00 die Protokolle entfernt wurden.

Wenn Sie Datum und Uhrzeit auf einem Gerät manuell ändern, ändert sich die Lebensdauer der Tabelle. Wenn eine Tabellenidentifikationszeit beispielsweise der 19. Juli 2019 ist und Sie die Tabellenlebensdauer auf 10 konfigurieren, sollte Junos OS die Tabelle am 29. Juli 2019 entfernen. Wenn Sie das Gerätedatum in 18-Juli-2019 ändern, wird die tatsächliche Lebensdauer der Tabelle zu 30-Juli-2019.

Modus "Tabellendichte"

In Junos OS Version 19.4R1 haben wir den standardmäßigen Speicher- und Suchmechanismus in der integrierten Protokollierungsdatenbank aktualisiert, um Protokolle zu verwalten. Sie können jetzt die Ergebnisse der Protokollspeicherung und des Suchmechanismus anpassen. Wenn Sie z. B. weniger Datenverkehrsprotokolle erwarten, können Sie die Standardkonfiguration mit einer Start- und einer Stoppzeit verwenden.

Wenn Sie jedoch eine große Anzahl von Datenverkehrsprotokollen und größere Zeitintervalle erwarten, für die die Protokolle generiert werden, aktivieren Sie den dichten Modus. Um den Dense-Modus zu aktivieren, verwenden Sie den set security log report table-mode dense Konfigurationsbefehl.

Chassis-Cluster-Szenario

Für die On-Box-Berichterstellung in einem Chassis-Cluster werden die Protokolle auf dem lokalen Datenträger gespeichert, auf dem das Gerät aktiven Datenverkehr verarbeitet. Diese Protokolle werden nicht mit dem Chassis-Clusterpeer synchronisiert.

Jeder Knoten ist dafür verantwortlich, Protokolle zu speichern, wenn jeder Knoten aktiven Datenverkehr verarbeitet. Im Aktiv/Passiv-Modus verarbeitet nur der aktive Knoten den Datenverkehr und Protokolle werden ebenfalls nur im aktiven Knoten gespeichert. Im Falle eines Failovers verarbeitet der neue aktive Knoten den Datenverkehr und speichert Protokolle auf seinem lokalen Datenträger. Im Aktiv/Aktiv-Modus verarbeitet jeder Knoten seinen eigenen Datenverkehr und die Protokolle werden in den jeweiligen Knoten gespeichert.