Giacomo Lanzi
Gestione dei Log File con il servizio di Secure Online Desktop
Tempo di lettura: 5 min
I sistemi IT producono grandi quantita’ di log file, strumenti utilissimi per garantire la sicurezza dei dati e la stabilita’ delle applicazioni. Pero’, in un ecosistema complesso, la quantita’ di file e la loro posizione, possono diventare due scogli insormontabili da superare, nel caso in cui sia necessario consultare i dati in modo efficiente. Ecco che entrano in gioco i sistemi di log management, che grazie a tecnologie come quella di Syslog-ng, sono in grado di aggirare il problema. Nell’articolo vediamo in che modo una soluzione di gestione dei log file possa essere un investimento prezioso.
Cos’e’ un log file, a cosa serve
Ogni azione che viene compiuta su un macchina o da essa, puo’ essere registrata in un file log. Per capire cosa sia, immaginiamo che si tratti del diario di bordo di una nave, in cui viene annotato ogni singolo fatto accaduto sull’imbarcazione. In effetti, il nome deriva proprio dall’ambiente nautico, in cui era comune l’uso di un logbook. Questo non era altro che un diario in cui venivano segnati, a intervalli regolari, i dati di navigazione: velocita’, forza e direzione del vento, condizione delle acque e cosi’ via.
Con il concetto di registrare informazioni utili in un file consultabile successivamente, il log file contiene ogni cambiamento, azione, stato o modifica per motivi di sicurezza. Nel caso in cui qualcosa dovesse andare storto, e’ semplice capire cosa sia successo consultando un log file. Questo e’ particolarmente vero quando parliamo di server e di applicazioni, diffusione dei dati, sicurezza IT, etc.
Quantita’ di log file
Alcune compagnie hanno fino a qualche decina di server, altre ne anno centinaia, alcune migliaia e ce ne sono altre che gestiscono decine di migliaia di server. Questi sistemi producono un numero enorme di dati sotto forma di log file.
A complicare le cose ci si mette l’architettura informatica. Molto spesso le macchine sono organizzate in sottosistemi, sia per motivi di comodita’ che di sicurezza. Nel malaugurato caso in cui qualcuno volesse consultare i log file in seguito a un incidente, ci sarebbe da disperarsi. Quale server conserva il dato che ci interessa? In quale sottosistema si trova? Non sono domande a cui si riesce a dare una risposta semplice, soprattutto se non si conosce l’origine del problema.
La gestione dei log file di un sistema (o Log Management) e’ indispensabile nella raccolta dei dati, prevenzione e risoluzione di problemi.
Log Management di Secure Online Desktop
SOD propone una soluzione di log management tramite gli agenti di Syslog-ng Premium Edition. Questi sono in carico della raccolta, trasmissione e stoccaggio dei log file. Non solo vengono raccolti e centralizzati in un unico luogo virtuale, ma i dati sono anche normalizzati, cioe’ “tradotti” in formati standardizzati in modo da poterli consultare e confrontare con maggiore facilita’.
Normalizzazione, report e classificazione in real-time
Grazie alla normalizzazione, e’ possibile effettuare in pochi secondi ricerche full-text trasversali a tutti i log file raccolti. Operazioni complesse sono garantite dalla possibilita’ di utilizzo di wildcard e operatori booleani. L’analisi dei dati raccolti ne risulta quindi molto semplificata, il che permette di utilizzare i dati anche per monitorare l’efficienza del sistema, individuare possibili problemi futuri e intervenire prima che sia troppo tardi.
E’ possibile anche generare report personalizzati composti da grafici e statistiche con lo scopo di attestare la conformita’ a norme e regolamenti come PCI-DSS, ISO 27001, SOX e HIPAA.
Una delle caratteristiche piu’ interessanti di syslog-ng, e’ la capacita’ di classificare in modo automatico i messaggi e ordinarli in classi. Queste possono essere poi usate per etichettare il tipo di evento descritto nel log. Esempi di possibili classi: login utente, crash dell’applicazione, trasferimento file, etc.
Estrazione e correlazione dei messaggi nei log file
La classificazione dei messaggi apre le porte a un ulteriore funzionalita’: l’estrazione e correlazione dei messaggi. Una volta che ogni messaggio contenuto nei log file e’ stato normalizzato e classificato secondo le proprie esigenze, e’ possibile assegnare diversi tag, per aggiungere un livello di filtro ulteriore.
Per fare un esempio: una volta raccolti i messaggi di accesso di un utente, e’ possibile etichettarli come user_login, e poi isolarli estraendoli e raccogliendoli in un file separato per eseguire ulteriori elaborazioni su questi messaggi.
Syslog-ng rende possibile anche la correlazione degli eventi in tempo reale, per evitare che i dati di un singolo evento siano sparsi in diversi log file. Per esempio i dati di accesso e uscita (log-in e log-out) sono spesso registrati lontani l’uno dall’altro, addirittura in log file diversi. Attraverso la correlazione si possono raccogliere e analizzare i dati di un singolo evento in modo isolato.
Backup automatico
I messaggi di log memorizzati e la configurazione del servizio di Log Management possono essere periodicamente trasferiti a un server remoto utilizzando i seguenti protocolli:
– Network File System protocol (NFS)
– Rsync over SSH
– Server Message Block protocol (SMB/CIFS)
Prestazioni
Il sistema di raccolta e gestione dei log file con gli agenti syslog-ng PE opera su oltre 50 piattaforme, incluse tutte le distribuzioni di Linux e le versioni commerciali di Unix e Windows. Il servizio e’ in grado di gestire quantita’ enormi di messaggi, fino a oltre 100.000 al secondo e oltre 70 GB di log file grezzi all’ora, da 5000 fonti differenti (server, applicativi, etc.).
Chiedici ulteriori informazioni sul nostro servizio di Log Monitoring per sapere nello specifico come e’ implementabile nei tuoi sistemi e come puo’ esserti di aiuto.
Link utili:
Log Management caratteristiche
Nuovo servizio | Log Management – Il servizio ad alte prestazione per la conservazioni dei Log
Condividi
RSS
Piu’ articoli…
- NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa
- Advanced persistent threat (APT): cosa sono e come difendersi
- Penetration Testing e MFA: Una Strategia Duplice per Massimizzare la Sicurezza
- SOAR e l’automazione della sicurezza informatica
- Penetration Testing: Dove Colpire per Proteggere la Tua Rete Informatica
- Ransomware: una piaga che mette in ginocchio aziende e istituzioni. Pagare o non pagare? Ecco la risposta.
- Perché l’audit IT e il log management sono importanti per la Cybersecurity
- Red Team, Blue Team e Purple Team: quali sono le differenze?
Categorie …
- Backup as a Service (25)
- Acronis Cloud Backup (18)
- Veeam Cloud Connect (3)
- Cloud CRM (1)
- Cloud Server/VPS (23)
- Conferenza Cloud (4)
- Log Management (2)
- Monitoraggio ICT (4)
- Novita' (20)
- ownCloud (7)
- Privacy (8)
- Secure Online Desktop (14)
- Security (215)
- Cyber Threat Intelligence (CTI) (9)
- Deception (4)
- Ethical Phishing (10)
- Netwrix Auditor (2)
- Penetration Test (18)
- Posture Guard (4)
- SOCaaS (66)
- Vulnerabilita' (83)
- Web Hosting (16)
Tags
CSIRT
- Aggiornamenti di sicurezza per Acronis Cyber Protect
(AL03/240502/CSIRT-ITA) Maggio 2, 2024Acronis ha rilasciato aggiornamenti di sicurezza per risolvere 4 vulnerabilità, di cui 3 con gravità “alta”, relativi al prodotto Cyber Protect Cloud Agent per sistemi operativi Windows, Mac e Linux.
- Vulnerabilità in prodotti SonicWall
(AL02/240502/CSIRT-ITA) Maggio 2, 2024SonicWall ha recentemente rilevato 2 vulnerabilità nella piattaforma Global Management System (GMS), soluzione per la gestione unificata dei propri prodotti. Tale vulnerabilità, qualora sfruttata, potrebbe permettere a un utente malintenzionato il bypass dei meccanismi di autenticazione e l’accesso a informazioni sensibili sui dispositivi target.
- Risolte vulnerabilità in prodotti Cisco
(AL01/240502/CSIRT-ITA) Maggio 2, 2024Aggiornamenti di sicurezza Cisco sanano 3 vulnerabilità in alcuni prodotti IP Phone e Video Phone, soluzioni per le comunicazioni VoIP e la videofonia aziendale. Tali vulnerabilità, qualora sfruttate, potrebbero permettere la compromissione della disponibilità del servizio e la divulgazione di informazioni sensibili.
- Aggiornamenti Mensili Microsoft
(AL07/240409/CSIRT-ITA) - Aggiornamento Aprile 30, 2024Microsoft ha rilasciato gli aggiornamenti di sicurezza mensili che risolvono un totale di 150 nuove vulnerabilità.
- Vulnerabilità nel linguaggio di programmazione “R”
(AL01/240430/CSIRT-ITA) Aprile 30, 2024Rilevata vulnerabilità nel linguaggio di programmazione statistica "R". Tale vulnerabilità, qualora sfruttata, potrebbe consentire l’esecuzione di codice arbitrario sui sistemi target tramite l’apertura di file “.rds” o “.rdx” opportunamente predisposti.
- Rilevato sfruttamento in rete della vulnerabilità CVE-2023-48365 relativa a Qlik Sense
(AL03/240429/CSIRT-ITA) Aprile 30, 2024Rilevato lo sfruttamento attivo in rete della vulnerabilità CVE-2023-48365 con gravità “critica” - già sanata dal vendor a settembre 2023 - relativa a Qlik Sense, piattaforma di business intelligence e data integration. Tale vulnerabilità potrebbe consentire a un attaccante non autenticato l'esecuzione da remoto di codice arbitrario sui sistemi target.
- CrushFTP: rilevato sfruttamento in rete della CVE-2024-4040
(AL02/240429/CSIRT-ITA) Aprile 29, 2024Rilevato lo sfruttamento attivo in rete di una vulnerabilità con gravità “critica” - già sanata dal vendor – presente in CrushFTP, software per il trasferimento sicuro di file. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un attaccante remoto non autenticato di leggere file sul dispositivo, bypassare l'autenticazione ottenendo privilegi amministrativi, eseguire codice sul server ed […]
- Vulnerabilità in prodotti QNAP
(AL01/240429/CSIRT-ITA Aprile 29, 2024Aggiornamenti di sicurezza QNAP risolvono alcune vulnerabilità, di cui una con gravità “critica” e 2 con gravità “alta” nei prodotti QTS, QuTS hero, QuTScloud e nel componente aggiuntivo Media Streaming.
- La Settimana Cibernetica del 28 aprile 2024 Aprile 29, 2024Scarica il riepilogo delle notizie pubblicate dallo CSIRT Italia dal 22 al 28 aprile 2024.
- Sanate vulnerabilità su GitLab CE/EE
(AL01/240426/CSIRT-ITA) Aprile 26, 2024Rilasciati aggiornamenti di sicurezza che risolvono 5 vulnerabilità, di cui 3 con gravità “alta”, in GitLab Community Edition (CE) e Enterprise Edition (EE). Tali vulnerabilià potrebbero permettere a un utente malintenzionato di eseguire il bypass dei meccanismi di sicurezza, elevare i propri privilegi e compromettere la disponibilità del servizio sul sistema target.
darkreading
- 'DuneQuixote' Shows Stealth Cyberattack Methods Are Evolving. Can Defenders Keep Up? Maggio 2, 2024A recent campaign targeting Middle Eastern government organizations plays standard detection tools like a fiddle. With cyberattackers getting more creative, defenders must start keeping pace.
- Private Internet Search Is Still Finding Its Way Maggio 1, 2024The quest to keep data private while still being able to search may soon be within reach, with different companies charting their own paths.
- UnitedHealth Congressional Testimony Reveals Rampant Security Fails Maggio 1, 2024The breach was carried out with stolen Citrix credentials for an account that lacked multifactor authentication. Attackers went undetected for days, and Change's backup strategy failed.
- Intel 471 Acquires Cyborg Security Maggio 1, 2024
- Cobalt's 2024 State of Pentesting Report Reveals Cybersecurity Industry Needs Maggio 1, 2024
- Shadow APIs: An Overlooked Cyber-Risk for Orgs Maggio 1, 2024Unmanaged and unknown Web services endpoints are just some of the challenges organizations must address to improve API security.
- Qantas Customers' Boarding Passes Exposed in Flight App Mishap Maggio 1, 2024Some customers found that they had the ability to cancel a stranger's flight to another country after opening the app, which was showing other individuals' flight details.
- 'Cuttlefish' Zero-Click Malware Steals Private Cloud Data Maggio 1, 2024The newly discovered malware, which has so far mainly targeted Turkish telcos and has links to HiatusRat, infects routers and performs DNS and HTTP hijacking attacks on connections to private IP addresses.
- The Cybersecurity Checklist That Could Save Your M&A Deal Maggio 1, 2024With mergers and acquisitions making a comeback, organizations need to be sure they safeguard their digital assets before, during, and after.
- Verizon DBIR: Basic Security Gaffes Underpin Bumper Crop of Breaches Maggio 1, 2024MOVEit drove a big chunk of the increase, but human vulnerability to social engineering and failure to patch known bugs led to a doubling of breaches since 2023, said Verizon Business.
Full Disclosure
- Microsoft PlayReady white-box cryptography weakness Maggio 1, 2024Posted by Security Explorations on May 01Hello All, There is yet another attack possible against Protected Media Path process beyond the one involving two global XOR keys [1]. The new attack may also result in the extraction of a plaintext content key value. The attack has its origin in a white-box crypto [2] implementation. More […]
- Defense in depth -- the Microsoft way (part 87): shipping more rotten software to billions of unsuspecting customers Aprile 24, 2024Posted by Stefan Kanthak on Apr 24Hi @ll, this post is a continuation of and With the release of .NET Framework 4.8 in April 2019, Microsoft updated the following paragraph of the MSDN article "What's new in .NET Framework" | Starting with .NET Framework 4.5, the clrcompression.dll assembly...
- Response to CVE-2023-26756 - Revive Adserver Aprile 24, 2024Posted by Matteo Beccati on Apr 24CVE-2023-26756 has been recently filed against the Revive Adserver project. The action was taken without first contacting us, and it did not follow the security process that is thoroughly documented on our website. The project team has been given no notice before or after the disclosure. Our team has […]
- BACKDOOR.WIN32.DUMADOR.C / Remote Stack Buffer Overflow (SEH) Aprile 19, 2024Posted by malvuln on Apr 19Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/6cc630843cabf23621375830df474bc5.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Dumador.c Vulnerability: Remote Stack Buffer Overflow (SEH) Description: The malware runs an FTP server on TCP port 10000. Third-party adversaries who can reach the server can send a specially […]
- SEC Consult SA-20240418-0 :: Broken authorization in Dreamehome app Aprile 19, 2024Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Apr 19SEC Consult Vulnerability Lab Security Advisory < 20240418-0 > ======================================================================= title: Broken authorization product: Dreamehome app vulnerable version:
- MindManager 23 - full disclosure Aprile 19, 2024Posted by Pawel Karwowski via Fulldisclosure on Apr 19Resending! Thank you for your efforts. GitHub - pawlokk/mindmanager-poc: public disclosure Affected application: MindManager23_setup.exe Platform: Windows Issue: Local Privilege Escalation via MSI installer Repair Mode (EXE hijacking race condition) Discovered and reported by: Pawel Karwowski and Julian Horoszkiewicz (Eviden Red Team) Proposed mitigation:...
- CVE-2024-31705 Aprile 14, 2024Posted by V3locidad on Apr 14CVE ID: CVE-2024-31705 Title : RCE to Shell Commands" Plugin / GLPI Shell Command Management Interface Affected Product : GLPI - 10.X.X and last version Description: An issue in Infotel Conseil GLPI v.10.X.X and after allows a remote attacker to execute arbitrary code via the insufficient validation of user-supplied input. […]
- SEC Consult SA-20240411-0 :: Database Passwords in Server Response in Amazon AWS Glue Aprile 14, 2024Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Apr 14SEC Consult Vulnerability Lab Security Advisory < 20240411-0 > ======================================================================= title: Database Passwords in Server Response product: Amazon AWS Glue vulnerable version: until 2024-02-23 fixed version: as of 2024-02-23 CVE number: - impact: medium homepage: https://aws.amazon.com/glue/ found:...
- [KIS-2024-03] Invision Community <= 4.7.16 (toolbar.php) Remote Code Execution Vulnerability Aprile 11, 2024Posted by Egidio Romano on Apr 10------------------------------------------------------------------------------ Invision Community
- [KIS-2024-02] Invision Community <= 4.7.15 (store.php) SQL Injection Vulnerability Aprile 11, 2024Posted by Egidio Romano on Apr 10-------------------------------------------------------------------- Invision Community
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
{subscription_form_2}Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa Aprile 22, 2024
- Advanced persistent threat (APT): cosa sono e come difendersi Aprile 17, 2024
- Penetration Testing e MFA: Una Strategia Duplice per Massimizzare la Sicurezza Aprile 15, 2024
- SOAR e l’automazione della sicurezza informatica Marzo 27, 2024
- Penetration Testing: Dove Colpire per Proteggere la Tua Rete Informatica Marzo 25, 2024
Recensioni Google
Ottima azienda, servizi molto utili, staff qualificato e competente. Raccomandata!leggi di più
Ottimo supportoleggi di più
E' un piacere poter collaborare con realtà di questo tipoleggi di più
Un ottimo fornitore.
Io personalmente ho parlato con l' Ing. Venuti, valore aggiunto indubbiamente.leggi di più
Contatti
© 2023 Secure Online Desktop s.r.l. All Rights Reserved. Registered Office: via dell'Annunciata 27 – 20121 Milan (MI), Operational Office: via statuto 3 - 42121 Reggio Emilia (RE) – PEC [email protected] Tax code and VAT number 07485920966 – R.E.A. MI-1962358 Privacy Policy - ISO Certifications