Contexte : L'agrégation des journaux à distance est considérée comme un moyen d'améliorer la sécurité. En général, cela répond au risque qu'un attaquant qui compromet un système puisse modifier ou supprimer les journaux afin de faire échouer l'analyse médico-légale. J'ai fait des recherches sur les options de sécurité des outils de journalisation courants.
Mais quelque chose ne va pas. Je ne vois pas comment configurer l'un des enregistreurs distants courants (par exemple rsyslog, syslog-ng, logstash) pour authentifier qu'un message entrant provient vraiment de l'hôte supposé. Sans une sorte de contrainte de politique, un log-originateur pourrait falsifier des messages au nom d'un autre log-originateur.
L'auteur de rsyslog semble pour avertir de l'authentification des données du journal :
Un dernier mot d'avertissement : transport-tls protège la connexion entre l'expéditeur et le destinataire. Il ne protège pas nécessairement l contre les attaques qui sont présentes dans le message lui-même. En particulier dans dans un environnement de relais, le message peut provenir d'un système malveillant système malveillant, qui a placé des noms d'hôtes invalides et/ou d'autres contenus dans le message. S'il n'y a pas de provisionnement contre de telles choses, ces enregistrements peuvent apparaître dans le référentiel des récepteurs. Le protocole -transport-tls ne protège pas contre cela (mais il peut aider, s'il est utilisé correctement). Gardez à l'esprit que gardez à l'esprit que syslog-transport-tls fournit une sécurité hop-by-hop. Il ne sécurité de bout en bout et n'authentifie pas le message lui-même ( message lui-même (seulement le dernier expéditeur).
La question suivante est donc : quelle est une bonne configuration pratique (dans l'outil de journalisation de votre choix -- rsyslog, syslog-ng, logstash, etc) qui fournit un certain degré d'authenticité ?
Ou... si personne n'authentifie les données du journal, alors pourquoi pas ?
--
(A propos : lors de la discussion/comparaison, il peut être utile d'utiliser certains diagrammes ou la terminologie des documents suivants RFC 5424 : Section 4.1 : Exemples de scénarios de déploiement -- (par exemple, "expéditeur", "relais" ou "collecteur").
0 votes
Quelle partie essayez-vous de sécuriser ? L'agrégat du journal recevant les données d'un hôte correct, ou les données elles-mêmes ?
0 votes
Réception de l'hôte correct. Si Alice et Bob sont tous deux à l'origine des journaux, et que Trent est le collecteur de journaux, Alice devrait être capable de donner à Trent des journaux avec "hostname=alice" mais pas "hostname=bob". Mais je pensez à la configuration par défaut est conçue pour supposer qu'Alice pourrait être un relais de log, donc ils lui permettraient de soumettre n'importe quoi.