By Stephen Northcutt, SANS Technology Institute
January 28th,2008
Ttranslated by DigitalSecu
-이어서-

음, 제 관점으로는, 진보적인 조직들이 튼튼하고 강력한 perimeter/ 관대하게 생각하는 내부에서 방어할 수 있는 것으로 움직이는 것을 보는게 좋습니다. 놀랍게도 이것의 큰 부분은 감사입니다. 저는 지난 주 캘리포니아에 있는 은행의 보안 설계자와 얘기를 나누었습니다. 그는 웹 어플리케이션 방화벽을 찾기 시작했는데, 그의 팀이 해결하려는 문제를 고려해볼 때 그들은 단지 WAF 이상이 되는 것을 원했고 데이터베이스 감사에 관한 완전한 솔루션을 원한답니다, 왜냐하면 요즘에는 웹 솔루션들이 데이터베이스 중심이니까요. 감사: 정보 수집과 검토에 관하여 많이 민감해진 것을 지켜보고 있나요?

로그를 통해 접근이 더 가능하고 더 활동적인 감사를 향한 트렌드가 또한 있습니다; 예를 들어 거의 모든 파일 서버 또는 데이터베이스 벤더들은 로깅에 관해 많은 관심을 보이지 않았었지만 지금은 모두 관심을 나타냅니다. 이전에는 “정보에 접근”하는 것이 “ 감사가능한 접근 정보”가 아니었습니다.

최근에, 저는 스토리지 보안에 관한 재미있는 논쟁에 가담되었습니다. 얘기를 나누었던 스토리지 벤더 중 하나는 사업을 하는 매년(90년대 초기 이후로)마다 세부사항의 수준,감사 로깅의 성능 또는 다른 감사 관련 기능들을 증대시키기 위해 그들의 정보 접근 솔루션에 하나 혹은 더 이상의 감사 기능을 추가해야만 했다고 말했습니다.

제 반응은: “뭐라구요? 맨 처음부터 데이터 접근 감사 기능을 구축하지 않았습니까? 그리고나서 저는 생각했습니다: 왜 각기 모두의 성공하고 실패한 접근을 로그하는 능력을 갖추지 않고 모든 정보로의 접근을 제공하는 건가?

접근 감사 정보를 가지는 것은 아주 많은 경우에 유용합니다, 그렇게 하지 않는 것은 변명할 여지가 없는 것이 되고 솔직히 말해 어리석은 짓입니다. 그러한 정보의 많은 용도들 중의 일부는:
- 운영상의 troubleshooting: 누가 정보 접근에 실패했고 이유가 무엇인지를 아는 것
- 정책 감사 : 누가 무엇에 접근했는가, 권한을 가지고 또는 권한 없이?
- 규정 준수: 감사 데이터를 가지는 법적 요구사항을 충족
- 사고 대응: 어떤 정보가 도난당했고 누가 훔쳤나?
- 정보 접근 추세와 성능 최적화: 우리는 정보에 빠르고 신뢰할 만한 접근을 제공하
고 있는가?

전체적으로, 저는 더 많은 접근과 다른 행동 감사에 대한 트렌드가 앞으로도 빠른 속도로 계속될 것이라고 생각합니다.음…근본적으로 가까운 미래에요! (웃음)

로그에 관해 생각할 때, 사람들이 저지를 수 있는 실수 중의 하나는 좁은 소견을 취하는 것입니다: 컴플라이언스 용도의 보안 로그를 위한 로그들, 어플리케이션 디버깅을 위한 로그들..등등. 현실은 로그들은 위의 모든 것과 더 많은 것(훨씬 많은 것- HR 그리고 법적인 모든 범위를)들을 위해 유용합니다, 그러므로 폭넓게 접근될 필요가 있습니다: 로그 관리 플랫폼으로요.

자, 여러분은 로그의 힘을 이용하기로 결정했습니다. 그러나 어떻게? 만들어 내야 할까요 혹은 사야 할까요? 수백개의 조직들과 사람들의 경험이 외칩니다 : “ 네 스스로 만들지 마라! 로그관리는 많은 사람들이 생각하는 것만큼 단순하지 않다; 특히 우리가 테라바이트의 로그들을 조사할 때는 더욱 그러합니다.

당신의 첫번째(제발 로깅을 기록하는 것이기를)와 두번째 불만거리는 무엇입니까?

1. 심지어 사고발생 동안에 로그를 가지지 못해서 정말로 심각하게 손상을 입은 후에도 사람들이 여전히 때로 로그를 먼지처럼 취급하는 것입니다. 로그들을 소중히 여기지(예: 수집+분석, 검토) 않는다면, 고통을 겪게 될 것입니다: 나의 불만은 너무 많은 사람들이 고통 받기를 선택하는 것입니다.
2. 유감스럽게도, 로그 포맷과 컨텐츠, 의미에서의 표준의 결여는 단지 2순위입니다(그리고 우리는 MITRE에 의한 CEE 표준을 통해 그것을 해결하려는 작업을 하고 있습니다)

로깅에 관해 사람들이 단연코 저지르게 되는 가장 큰 실수는 무엇인가요?

로깅을 시작하지 않는 것입니다!

야유하는 거네요! 아시다시피, 제가 처음으로 들은게 1995년도였습니다. 오늘날에도 로그 관리에 종사하고 있는 Dr. Gene Schultz는 사고 대응에 관해 얘기를 했습니다. 그가 말한 것을 아직도 기억합니다. “로그를 살피지 않는다 할지라도, 최소한 로깅을 시작해야 한다. 그렇게 해야만 나와 같은 누군가에게 도움을 요청할 때 조사할 무언가를 가질 수 있다.” 사람들이 일반적으로 행하는 다른 실수들에는 무엇이 있을까요?

네, 다른 실수들에 관해 얘기하는데 몇 시간 심지어 몇 일을 보낼 수 있습니다. 그러나 슬프게도 로그를 가지지 않는 것이 아직까지 매우 흔한 일입니다. 이것은 월등히 가장크게 손해를 끼치는 치명적인 실수입니다. 제가 수년간 지켜본 로깅에 관련된 다른 실수들은 다음과 같습니다:

1. 로깅을 안하는 것: 로깅을 가지지 않는 가장 일반적인 이유는 한번도 로깅을 시작하지 않은 것이다.
2. 로그를 조사하지 않는 것: 로그를 가지는 것은 훌륭하다, 그러나 가치의 대부분은 실제로 그것들을 조사하는 것에서 생겨납니다.
3. 너무 단기간을 위해 로그를 저장하는 것: 로그들은 악의적인 해커들 때문에 사라질 수도 있다, 그러나 당신이 로그 보존을 너무 짧게 설정해 놓았기 때문이다.
4. 수집 이전에 로그 기록의 우선순위를 정하는 것: 이것은 까다로운 것으로 실제로 모두 다를 움켜질 필요가 없는 로그들에 관하여 “그릇되게 승부를 거는” 것으로부터 발생한다.
5. 어플리케이션으로부터의 로그들을 무시하는 것: 이 실수는 우리가 네트워크와 시스템 보안에서 유용한 로그데이터의 대부분이 네트워크 gear가 아니라 어플리케이션에서 일어나는 데이터와 정보 보안으로 이동함에 따라 점점 더 탄로날 것이다.
6. 아는 것만 조사하는 것은 나쁘다: “무엇이 나쁜지 보여달라”는 생각은 매력적일 수 있지만 또한 로그들의 영역이 완전히 잘못될 수도 있다: 단지 “잘못된 것”을 가리키는 것은 너무 복잡한 방법이다. 최고의 접근법은 이것과 ‘ 당신이 아는 것을 무시하는 것은 정상적이며 그 나머지를 조사하기”와 결합하는 것이다.

제 손자가 진정으로 유용하게 구현된 로깅의 표준을 보게 될 날이 올 가망성이 있을까요?

로그 표준: 표준들이 이루어질까요? 네 그래요! 그것은 지금 이루어지고 있습니다. Common Event Expression(CEE- http://cee.mitre.org)에 관한 일이 시작되었고, 많은 핵심 로그 생산자들(예로 소프트웨어와 플랫폼 벤더들)과 고객들(예로 로그 관리 벤더들)이 가담하고 있다. 그 길은 오래될 것이고 많은 분쟁이 있을 것이지만, 우리는 갈 것인지의 주저함 없이 이미 향하고 있습니다.

안톤씨, 보안 연구소의 관례 중의 하나는 자기 선전의 기회를 주는 것인데요..보안과 관련하여 강렬히 간직하고 있는 생각을 나눌 기회를 드리겠습니다.

전에도 말했고 앞으로도 계속 말할 것입니다. (웃음)

- 로깅을 시작해라
- 그 로그들을 수집하라
- 폭넓은 플랫폼 기반의 접근법- 창고형(siloed) 기반이 아니라- 으로 로깅에 착수해라

네, 시간을 내어 수고해주신 것에 정말로 감사드립니다. 마지막 질문입니다, Anton Chuvakin씨 개인에 관한 얘기를 조금 해주실 수 있나요? 컴퓨터 앞에 있지 않을 때는 무엇을 하며 보내나요?

오, 저는 몹시 괴짜라고 소문난 많은 취미를 가지고 있습니다: 제 부인, Olga와 시간을 보내는 것 이외에 독서, 하이킹, 댄스, 배구, 여행(네, 출장까지도요), 스키(겨울에), 카약(여름에)을 즐기구요, 또 다른 몇가지들이 있는데 지금 생각이 안나는 군요. (웃음)