Loggexport och bevisbevarande

Topologi

Den lokala samlaren är inte valfri. Låter man varje enhet skicka direkt över dioden får man ingen buffert vid länkfel och ingen möjlighet till lokal detektering av bortfall. En samlare på insidan ger båda.

Dataflöden

Tidsanmärkningen är viktig. Loggkorrelering över domängräns kräver att båda sidor har samma tid. NTP-broadcast passerar en diod inåt — vilket kräver en diod i den riktningen. Alternativet är en egen tidskälla i den skyddade domänen. Vilket som väljs är en arkitekturfråga som brukar upptäckas sent.

Utan mottryck

Syslog över UDP tappar meddelanden vid överbelastning — både i nätet och i dioden. Det är i normalfallet acceptabelt, med två undantag:

• Vid incident produceras mest loggar. Precis när loggen är som mest värdefull är risken för bortfall som störst. Dimensionera för incidentläget, inte för en tisdagseftermiddag. En 100 Mbit-länk är gott om utrymme för normal syslog, men “normal” är inte det dimensionerande fallet.
• Bortfall är tyst. Ingen part vet att ett meddelande försvann. Se nedan.

Verifiering utan kvittens

1. Sekvensnummer i loggkällan. Har varje meddelande ett löpnummer per källa upptäcker mottagarsidan luckor. Detta kräver att loggkällan gör det — vilket många inte gör som standard.
2. Räknarjämförelse. Den lokala samlaren räknar utskickade meddelanden per intervall och skickar räknaren som ett eget meddelande. Mottagarsidan jämför mot vad den tog emot. Ett enkelt och mycket effektivt bortfallsmått.
3. Livstecken. Ett meddelande per minut från en känd källa. Uteblir det larmar SOC:en. Skiljer “inga händelser” från “länken är nere” — vilket annars ser identiskt ut och är den farligaste tvetydigheten i mönstret.

Fallgropar

• SOC:en vill kunna fråga. Analytikern vill slå upp något i källsystemet. Det går inte, och det är designat så. Antingen skickas mer proaktivt, eller så finns en separat rutin för förfrågan som inte är en nätväg.
• Loggformat kan inte förhandlas. Det finns ingen väg att be källan skicka annorlunda. Formatändringar kräver arbete på insidan.
• TCP-syslog och TLS. Många moderna loggkedjor har gått till syslog över TCP med TLS. Det passerar inte. Antingen backas till UDP, eller så krävs DDMW. Detta är den vanligaste tekniska överraskningen i mönstret idag.
• Fjärradministration av samlaren. Samlaren står innanför dioden och kan inte administreras utifrån.

Vad som INTE skyddas

Innehållet i loggarna. Dioden vidarebefordrar troget även manipulerade loggposter — en angripare som står i den skyddade domänen kan skriva vad som helst till loggen, och det når SOC:en som sanning. Dioden skyddar loggen efter att den lämnat, inte innan. Sekretessen skyddas inte heller: loggarna passerar i klartext om ingenting annat krypterar dem.