Настройка системного журнала для устройства защиты

Журналы плоскости управления и плоскости данных

Junos OS генерирует отдельные сообщения журнала для записи событий, происходящих на системных плоскостях управления и данных.

• Журналы плоскость управления, также называемые системным журналом, включают события, происходящие на платформе маршрутов. Система отправляет плоскость управления события процессу на модуль маршрутизации, который обрабатывает события с помощью Junos OS политик, генерируя сообщения системного журнала или и то eventd и другое. Можно отправлять журналы журнала плоскость управления файл, терминал пользователя, консоль платформы маршрутов или на удаленный компьютер. Для создания плоскость управления журналов используйте утверждение syslog на уровне [system] иерархии.

• Журналы плоскость данных, также называемые журналами безопасности,в основном включают события безопасности, которые обрабатываются внутри плоскость данных. Журналы безопасности могут иметь текстовый или двоичный формат и могут быть сохранены локально (в режиме события) или отправлены на внешний сервер (режим потока). Двоичный формат необходим для режима потока и рекомендуется для сохранения пространства журнала в режиме события.

  Обратите внимание на следующее:

  • Журналы безопасности можно сохранить локально (на ящике) или внешне (вне системы), но не оба.

  • SRX1400, SRX1500, SRX3400, SRX3600, SRX4100, SRX4200, SRX4600, SRX5400, SRX5600 и SRX5800 устройства по умолчанию для режима потока. Чтобы указать двоичный формат и внешний сервер, см. "Настройка off-Box Binary Security Log Files".

    Прим.:

    Журналы могут быть отброшены при настройке регистрации в режиме события на этих устройствах.

    Начиная с Junos OS 15.1X49-D100, режимом по умолчанию для SRX1500 устройства является режим потока. До Junos OS выпуска 15.1X49-D100 в режиме по умолчанию для SRX1500 устройства был режим события.

  • За исключением Junos OS release 18.4R1, 18,4R2, 19.1 и 19.2R1 во всех остальных выпусках, начиная Junos OS release 18.3R3, по умолчанию для устройств SRX300, SRX320, SRX340, SRX345, SRX550, и SRX550M является режимом потока. События плоскости данных записыются в файлы системного журнала аналогично плоскость управления событиям. Чтобы указать двоичный формат журналов безопасности, см. "Настройка off-Box Binary Security Log Files".

  Начиная Junos OS выпуске 20.2R1, мы поддерживаем переадрешение в журнале потоков и отчеты в записи, чтобы избежать ошибок парирования. Режим потока поддерживает вход и sd-syslogbinary форматирование, когда журналы не отправляются на eventd обработку. Для журналов отправки на процесс не рекомендуется включить параметр, так как процесс включил выход для eventdescape журнала eventd структуры. Режим события поддерживает выход только в binary формате. По умолчанию escape этот параметр отключен. Параметр необходимо включить escape с помощью set security log escape команды.

Сервер регистрации резервной системы

Трафик системного журнала системы безопасности, предназначенный для удаленных серверов, отправляется через порты сетевого интерфейса, которые поддерживают два одновременных пункта назначения системного журнала. Каждый пункт регистрации системы должен настраиваться отдельно. При настройке двух адресов назначения системного журнала одинаковые журналы отправляются по обоим адресам. Хотя на любом устройстве, которое поддерживает эту функцию, можно настроить два пункта назначения, добавление второго пункта назначения в первую очередь полезно в качестве резервной резервной копии для развертывания кластеров с поддержкой автономных и активных/резервных шасси.

Доступны следующие сведения о резервном сервере:

• Объекта: cron

• Описание: процесс планирования хрон

• Уровень серьезности (от наивысшей до минимальной важности): debug

• Описание: Сообщения отладки программного обеспечения

Обзор

Ведение журнала трафика на твердотельных дисках (SSD) поддерживает восемь внешних серверов журналов или файлов.

В него добавляются все в одном XML-файле, который содержит всю информацию в журналах трафика. В XML-файле также создаются все файлы заголовки журнала и документы, относящиеся к журналу трафика.

В services Processing Cards 0 (SPCs0) поддерживается новый процесс (daemon), называемый local log демон управления (llmd), для обработки регистрации локального трафика. Трафик, который производится потоком в SPC, перечислены в журналах трафика. Llmd сохраняет эти журналы в локальном SSD. Журналы трафика сохраняются в четырех различных форматах. См. Табл. 1 информацию о форматах журналов.

Механизм отчетов в режиме входа в систему — это усовершенствование существующей функциональности ведения журнала. Существующая функциональность регистрации изменена для сбора журналов системного трафика, анализа журналов и создания отчетов этих журналов в форме таблиц с использованием интерфейс командной строки. Функция отчетов в окне предназначена для предоставления простого и простого в использовании интерфейса для просмотра журналов безопасности. В готовых отчетах можно легко использовать веб-страницы J-Web событий, происходящих в безопасности, в форме таблиц и графиков. Эти отчеты позволяют управлению ИТ-безопасностью определять информацию о безопасности в загонах и быстро определять действия, которые необходимо принять.

Функция отчетов в окне включена по умолчанию при загрузке заводских конфигураций по умолчанию на серия SRX с Junos OS релизом 15.1X49-D100 или более поздним.

Если устройство серия SRX Junos OS до Junos OS 15.1X49-D100 до Junos OS 15.1X49-D100 происходит обновление серия SRX, то устройство SRX наследует существующую конфигурацию, и функция отчетов в комплекте по умолчанию отключена. Необходимо настроить команду и команду для того, чтобы включить функцию отчетов в окне set security log reportset security log mode stream на обновляемом устройстве.

Начиная Junos OS выпуске 19.3R1, заводская конфигурация по умолчанию не включает конфигурацию отчетов в комплекте для увеличения срока действия твердого диска (SSD). Функцию отчетов можно включить в окне, настроив set security log report интерфейс командной строки в [edit security log] иерархии.

Для выполнения этой задачи на пользовательском интерфейсе J-Web см. руководство пользователя J-Web серия SRX устройств.

Начиная с Junos OS 21.3R1, журналы отчетов в окне сохраняются в файловой системе памяти (MFS), если не существует внешнего SSD. Максимальное количество журналов, которое можно сохранить на MFS, меньше, чем можно сэкономить на внешнем SSD. Это предотвращает исчерпание и сбой памяти. Журналы, сохраненные в MFS, не сохраняются после перезагрузки устройства или сбоя питания. См. количество журналов, записанных в отчете о входе в систему и отчете Табл. 2 о подмене номера.

После записи сообщения журнала журнал сохраняется в файле журнала, который затем сохраняется в таблице базы данных RE для дальнейшего анализа (на SRX300, SRX320, SRX340, SRX345 и устройства SRX550M) или на карте SSD для дальнейшего анализа (на SRX1500, SRX4100 и SRX4200M устройства).

Преимущества этой функции:

• Отчеты хранятся локально на серия SRX и не требуется для отдельных устройств или инструментов для хранения журналов и отчетов.

• В готовых отчетах используются веб-страницы J-Web, на которые можно найти различные события безопасности в виде таблиц и графиков.

• Предоставляет простой и простой в использовании интерфейс для просмотра журналов безопасности.

• Созданные отчеты позволяют ИТ-группе по управлению безопасностью определять информацию о безопасности в загонах и быстро определять действия, которые необходимо принять.

Функция отчетов в окне поддерживает:

• Создание отчетов на основе требований. Например: количество или громкость сеанса, типы журналов для таких действий, как IDP, UTM, IPsec VPN.

• Захват событий в реальном времени в указанном диапазоне времени.

• Захват всех сетевых действий в логическом, организованном и понятном формате на основе интерфейс командной строки условий.

Понимание ведения журналов и отчетов в on-box

В механизме отчетов в интерфейс командной строки данных, используемых для интерфейс командной строки отчетов с устройства. Устройство серии SRX собирает и сохраняет все необходимые журналы. Эти записи журналов затем используются для дальнейшего анализа для расчета и создания отчетов в форме таблиц с использованием интерфейс командной строки. Данные, созданные интерфейс командной строки в виде отчетов, могут быть получены в форме таблиц и графиков в J-Web. Созданные отчеты являются простыми для понимания таблицами и графиками в J-Web. Выполняется основательный анализ журналов (на основе типов сеансов) для таких функций, как экран, IDP, UTM и IPSec.

Можно определить фильтры для данных журнала, которые регистрируются на основе следующих критериев:

• top <number>—Этот параметр позволяет создавать отчеты о событиях безопасности с максимальной безопасностью, как указано в команде. Например: топ-5 система предотвращения вторжений или 6 URL-адресов, обнаруженных через UTM.

• in-detail <number>- Этот параметр позволяет создавать подробное содержимое журнала.

• in-interval <time-period>- Этот параметр позволяет создавать события, зарегистрированные за определенные интервалы времени.

• summary–Этот параметр позволяет сгенерировать сводку событий. Таким образом, отчет можно точно настроить под свои нужды и отобразить только необходимые данные.

Максимальное число в интервале, которое отображает число в интервалах, составляет 30. Если задана большая продолжительность, счетчики собираются, чтобы гарантировать, что в интервале не больше 30.

Как в деталях, так и в сумме имеется параметр "all", поскольку в разных таблицах есть разные атрибуты (например, в таблице сеансов нет атрибута "reason", но у UTM есть), у параметра "all" нет фильтра, кроме времени начала и остановки. Если есть и другие фильтры, кроме времени начала и остановки, то отображается ошибка.

Например: root@kujang> show security log report in-detail all reason reason1

В журналах межсетевых экранов приложений для наглядности приложений и пользователей будет составлен список приложений и вложенных приложений. Когда журналы этих функций перечисляют вложенные приложения, вложенные приложения перечислены в J-Web. Если в журнале вложенные приложения вложены как не применимые или неизвестные, в журнале J-Web перечислены только приложения.

Используйте следующие интерфейс командной строки для наглядности приложений и пользователей во всех приложениях и списке вложенных приложений:

• Для верхнего вложенного приложения по подсчету —show security log report top session-close top-number <number> group-by application order-by count with user

• Для верхнего вложенного приложения по громкости —show security log report top session-close top-number <number> group-by application order-by volume with user

• Для верхнего пользователя по подсчету с вложенным приложением —show security log report top session-close top-number <number> group-by user order-by count with application

Функции отчетов в окне

Функция отчетов в окне поддерживает:

• Sqlite3 support as a librarysqlite3 не поддерживался до Junos OS версии 15.1X49-D100. Начиная Junos OS выпуске 15.1X49-D100, базы данных журнала SQL (SQLite Version 3) используютсямонами, запущенными на RE, и другими потенциальными модулями для хранения журналов на серия SRX устройств.

  В Junos OS релизе 19.4R1 мы обновили базу данных регистрации при входе в систему, чтобы повысить производительность запроса.

• Running llmd in both Junos OS and Linux OS- Daemon пересылания (поток) декодирует индекс базы данных из двоичных журналов и отправляет как индекс, так и журнал в локальный журнал демон управления (llmd).

  На SRX300 устройства SRX320, SRX340, SRX345 и SRX550M, llmd работает в Junos OS. На SRX1500 устройства SRX4100 и SRX4200, llmd работает в Linux. Таким образом, для поддержки llmd для запуска в ос Junos OS и ОС Linux каталог кодов llmd перемещается с стороны Linux на Junos OS другую.

• Storing of logs into specified table of the sqlite3 database by llmd- Для сбора локальных журналов на серия SRX и сохранения их в базе данных вводится новый daemon syslog.

  Начиная с Junos OS 19.3R1, Junos OS сохраняет журналы в нескольких таблицах вместо одной таблицы в файле базы данных. Каждая таблица содержит временную запись самых старых и последних журналов. Когда вы инициируете запрос в зависимости от времени начала и окончания, llmd находит последние таблицы для создания отчетов.

  Например, если в одной таблице файла базы данных, сгенерированного за последние 10 часов, содержится 5 миллионов журналов, и если необходимо принять отчет, следует потратить более получаса. Начиная Junos OS 19.3R1, одна таблица разделена на несколько таблиц, и в каждой таблице по 0,5 миллионов журналов. Для создания одного и того же отчета достаточно одной таблицы.

  Рекомендуется запросить запрос с более коротким временем для более производительности.

  • Database table definition-Для журналов сеансов типы данных: исходный адрес, адрес назначения, приложение, пользователь и так далее. Для журналов, связанных с функциями безопасности, типы данных : attack-name, URL, profile protocol и так далее. Поэтому различные таблицы предназначены для хранения журналов разных типов для повышения производительности и экономии места на диске. Устройство SRX создает таблицу базы данных для каждого типа журнала при записи данных журнала.

    Каждый тип таблицы базы данных имеет свой максимальный номер записи, который является специфическим для устройства. Когда число записей таблицы достигает ограничений, новые журналы заменяют самые старые журналы. Junos OS сохраняет журнал в устройстве серия SRX на котором проходит активный трафик.

    Начиная с Junos OS версии 19.3R1, можно создать несколько таблиц в файле базы данных для хранения журналов. Можно определить емкость хранения журналов в таблице.

    Если количество журналов превышает пропускную способность таблицы, Junos OS их во второй таблице. Например, если количество журналов в таблице 1 превышает допустимую пропускную способность таблицы, Junos OS записи в таблице 2.

    Если предел номера журнала превышает последнюю таблицу файла 1, Junos OS журналы в таблице 1 файла 2. Например, таблица n является последней таблицей файла 1. Когда записи журнала превышают пропускную способность таблицы, Junos OS в таблице 1 файла 2.

    Чтобы немедленно действовать после изменения номера таблицы, используйте clear security log report операционную команду.

  • Database table rotation- У каждого типа таблицы базы данных есть свой максимальный номер записи, определенный устройству. Когда число записей таблицы достигает ограничений, новые журналы заменяют самые старые журналы.

    Ниже Табл. 3 описывается емкость файла базы данных:

    Табл. 3: Емкость файла базы данных

    Устройств	Сессии	Экрана	IDP	UTM	IPsec-VPN	Небо
    SRX300, SRX320, SRX340, SRX345 и SRX550M	1.8G	0.18G	0.18G	0.18G	0.06G	0.18G
    SRX1500	12G	2.25G	2.25G	2.25G	0.75G	2.25G
    SRX4100 и SRX4200	15G	2.25G	2.25G	2.25G	0.75G	2.25G
    SRX4600	22.5G	6G	6G	6G	0.75G	2.25G
    vSRX	1.8G	0.18G	0.18G	0.18G	0.06G	0.18G

• Calculating and displaying the reports that are triggered by CLI— Отчеты из базы данных получены от интерфейс командной строки в качестве интерфейса. С помощью интерфейс командной строки можно рассчитать и отобразить данные отчетов.

Выбор таблицы

Если требуется создать отчет из нескольких таблиц, таблицы llmd сортируются на основе хроимов и выбирают таблицы в зависимости от запрашиваемого времени начала и времени остановки.

Например, есть три таблицы: таблица 1 (от 1 до 3), таблица 2 (от 3 до 5) и таблица 3 (6-8). От 1 до 3, от 3 до 6, и от 6 до 8 обозначает временную штампу последних и самых старых журналов. При запросе отчета с 4 по 6 Junos OS отчеты из таблиц 2 и 3.

Срок действия таблицы

Можно выбрать срок действия таблицы, настроив set security log report table-lifetime команду. Junos OS удаляет таблицу после того, как время, зайдея таблицу, превышает срок действия таблицы. Например, если срок действия таблицы установлен на 2, а текущая дата - 26 июля-2019, то это означает, что журналы с 24 по июля 2019 года 00:00:00 удаляются.

Если изменить дату и время вручную на устройстве, срок действия таблицы изменится. Например, если для таблицы установлено время 19 июля 2019 года, а срок действия таблицы настроен на 10 Junos OS, таблицу следует удалить за 29 июля 2019 года. Если изменить дату устройства до 18 июля-2019, реальный срок действия таблицы станет 30 июля 2019 года.

Плотный режим таблицы

В Junos OS выпуска 19.4R1 мы обновили механизм хранения и поиска по умолчанию в базе данных входных данных для управления журналами. Теперь можно настраивать хранения журналов и результаты поиска. Например, если ожидается меньшее количество журналов трафика, можно использовать конфигурацию по умолчанию со временем начала и остановки.

Однако если ожидается большое количество журналов трафика и большие интервалы времени, для которых будут сгенерированы журналы, тогда плотный режим. Чтобы включить плотный режим, используйте команду set security log report table-mode dense configuration.

Сценарий кластера шасси

Для отчетов в устройствах в кластере с шасси журналы хранятся на локальном диске, на котором устройство обрабатывает активный трафик. Эти журналы не синхронизированы с одноранговой узла кластером шасси.

Каждый узел отвечает за хранение журналов при обработке активным трафиком каждого узла. В активном/пассивном режиме только активный узел обрабатывает трафик, а журналы также сохраняются только на активном узле. В случае перенаправки при сбойе новый активный узел обрабатывает трафик и сохраняет журналы на локальном диске. В активном/активном режиме каждый узел обрабатывает собственный трафик, а журналы хранятся на соответствующих узлах.