Problemi di sicurezza con un log di sola aggiunta in UNIX

Farò una rapida revisione della sicurezza: tieni presente che, poiché è veloce, probabilmente è tutt'altro che esaustivo.

Minacce

1. Rimozione o modifica di una voce di registro esistente.
2. Rollback del file di registro. (Tecnicamente un caso particolare di rimozione di vecchie voci, ma un particolare che merita una considerazione speciale.)
3. Inserimento di voci con spoofing
4. Prevenire l'uso legittimo dei log.
5. Accesso non autorizzato ai log

Attacchi, con alcune contromisure

1. Accesso fisico illegittimo all'hardware che ospita i log.

   • Controllo dell'accesso fisico.
   • Ridondanza geografica (registri di invio a più host).
   • registra tutti i tentativi di accesso a una posizione remota.

2. Accesso remoto illegittimo alla macchina che ospita i registri.

   • Limita i possibili metodi di accesso al minimo (firewall, autenticazione, ecc.).
   • Utilizza un software di controllo degli accessi sicuro e aggiornato.
   • registra tutti i tentativi di accesso a una posizione remota.

3. Ignora i meccanismi di sicurezza locali che applicano la natura di sola lettura dei log.

   • Utilizzare un metodo sicuro per implementare un log di sola lettura (ad esempio, l'attributo solo di append di Linux).
   • Utilizza un software sicuro per ricevere e memorizzare le voci del registro.

4. Uso improprio di un accesso amministrativo legittimo alla macchina che ospita i registri.

   • Limita al minimo i metodi di accesso legittimo.
   • Richiedi più autorizzazioni (chiavi divise) per l'accesso fisico e qualsiasi accesso logico pericoloso.
   • registra tutti i tentativi di accesso a una posizione remota.

5. Invio di messaggi di registro non validi.

   • Utilizza software sicuro e affidabile per l'invio, la trasmissione e la ricezione di messaggi.
   • Autentica i mittenti.
   • Utilizza un metodo di trasmissione che garantisce l'integrità dei dati.
   • Verifica l'origine delle voci di registro che non corrispondono al formato previsto.

6. Cattura o sovversione dei log in transito.

   • Utilizza un metodo di trasmissione che garantisca la riservatezza e l'integrità dei dati.
   • Utilizza un metodo di trasmissione che assicuri una consegna corretta.
   • Non convalidare una transazione finché la trasmissione della voce di registro corrispondente non è stata confermata.
   • Firma e crittografa ogni voce nel punto di origine (oltre ai meccanismi di integrità generale).
   • Verifica l'origine delle voci di registro che non corrispondono al formato previsto.
   • Controlla la frequenza delle voci di registro da ciascuna sorgente.

7. Snooping sui backup del registro.

   • Cripta i registri e i loro backup.

8. Cattura o sovversione di archivi di registro.

   • Cripta e firma i registri e i loro backup.
   • Registri di archivio su supporti di sola scrittura. Fai più copie.
   • Controlla gli archivi di registro regolarmente.

9. Subversion del meccanismo di rotazione del file di registro.

   • Progetta un robusto meccanismo di rotazione dei file di registro.
   • Ruota i registri in momenti diversi su diverse copie dei dati.

Per una risposta autorevole, consulta il tuo istruttore.

Ecco alcuni possibili problemi di sicurezza:

1. Come applicheremo / garantiremo che il registro possa essere aggiunto solo e che nessuna voce precedente possa essere cancellata / rimossa / modificata?

2. Chi / cosa avrà l'autorità per aggiungere elementi al log?

3. Chi / cosa avrà l'autorità per leggere il registro?

4. Che cosa dobbiamo fare per garantire che le informazioni riservate non siano archiviate nel registro o che siano adeguatamente protette?

5. In che modo questo si schiererà in tribunale, se i registri devono mai essere utilizzati come prova in una controversia legale?

6. Quali informazioni / eventi dovrei registrare?

7. In che modo verranno protette le informazioni da registrare mentre è in transito dal sistema che genera il registro al sistema che memorizza i record di log?

8. In che modo verranno protette le informazioni del registro sullo spazio di archiviazione?

9. Come verranno utilizzati i registri? Come possono essere utilizzati per rilevare attacchi / frodi / anomalie? Quali strumenti / tecniche saranno utilizzati per analizzare i log?

Per le tecniche che puoi utilizzare per risolvere questi problemi di sicurezza, potresti iniziare leggendo le seguenti domande su questo sito (dovrebbero coprire una buona parte dello spazio, e se c'è qualcosa di specifico mancante, puoi chiedere ad un altro più specifico domanda a parte):

• Tecniche per garantire la verificabilità dei file di registro degli eventi

• Tipi di media WORM

• Quali dati devono essere registrati?

• Qualsiasi sistema di cloud storage offre una modalità di sola aggiunta per bucket, directory, ecc .?

• Come posso proteggere i miei file di registro?

• Come faccio a registrare tutto ciò che un certo programma sta facendo?

• È legale registrare le password dagli accessi non riusciti

• Qual è il rischio se digito accidentalmente la mia password in un campo username (accesso a Windows)?

• requisiti di registrazione per PCI per applicazioni Web