tp5记录用户的操作日志_【干货】日志管理与分析（四）日志管理规程

接《日志管理与分析(三)--对日志系统的攻击》，如果你的企业没有认真地对待日志，那么就可以说明你的企业对IT可审核性并不重视，这也就是日志记录成为一种完善的依从性技术，许多法规和法律以及最佳实践框架都对此作出强制性要求的原因。日志管理与分析(四)重点在于根据PCI DSS以及ISO27001标准的日志的管理规程。

0 1日志管理规程

日志记录和管理的目标本质上是为你提供环境中的态势感知(SA)，这样你就可以在网络中发生某些情况时进行评估、响应，并在必要时升级。SA部分通过启用日志数据收集、分析和保存来实现。

企业很可能因为如下的某些原因而实施日志记录：

1. 你想要保护公司的资产(知识产权和财务数据等)。

2. 你所处行业(银行、医疗、信用卡处理等)要求监管依从性，确保你能够对抗外部和内部威胁、数据丢失等。

3. 你就是希望记录所有日志。

就第二种原因，许多法规不仅从过程和规程的角度规定你必须做的事，还要求你能够证明自己真的遵循和维护你的策略和规程。这可能意味着从提供最新的网络系统访问权限文档，到制作备份文档的报告的一切事情。

下面以支付卡行业(PCI)数据安全标准(DSS)举个例子。

PCI DSS是一组技术和运营需求，意在保护信用卡持卡人数据免遭违规使用。商户、处理设备、发卡行和服务提供商在PCI中都有利害关系。该标准的终极目标是在全球采用这些需求。

1.1假设、需求和预防措施

关键项目对于日志记录、日志管理和日志审核的成功必不可少。在日志审核、响应和升级规程投入使用之前，假定如下需求已经得到满足。

1.1.1需求

必须有一组需求，运营规程才能有效地使用： 1)创建日志记录策略，以编集PCI DSS日志相关需求，以及其他监管和运营日志需求。 2)在范围内的系统上启用日志记录。 3)日志记录的中端和终止本身必须记入日志、接受监控。 4)记录PCI DSS文档规定的事件。 5)生成满足PCI DSS日志记录需求的日志。 6)范围内的系统时间和可靠的时间服务器(NTP等)同步。 7)所有日志记录系统的时区已知并作记录，可以和日志一起审核。

1.1.2预防措施

需要采取如下的预防措施，使日志可以用于PCI DSS依从性、其他法规和安全、取证及运营需求：

关键预防措施：在特定系统上记录其操作的个人不能作为负责该系统日志审核的唯一当事人。

关键预防措施：PCI DSS强制实施日志安全措施，对日志的所有访问应该记录和监控，识别终止或者影响日志存在和质量的企图。

这些预防措施的主要思路是确保系统完整性。本质上，没有一个人应该拥有能够掩盖自己或者其他人踪迹的控制权。

1.2常见角色和职责

常见角色和职责总结

角色	职责	涉及工作示例
应用系统管理员	管理应用程序	配置应用程序日志记录设置，可能进行日常日志审核
系统或者网络管理员	管理底层操作系统或者网络	配置应用程序日志记录设置，可能进行日常日志审核
应用程序业务负责人	负责应用程序的业务经理	批准日志记录和日志审核所需的应用程序配置更改
安全管理员	管理一个或者多个系统/应用程序的安全控制	配置安全和日志记录设置，进行日常日志审核
安全分析人员	处理运营安全性过程	访问安全系统并分析日志和其他数据
安全主管或者经理	监督安全策略、过程和运营	负责日志审核规程、更新规程
事故响应人员	参与安全事故响应	处理安全事故，在响应过程中审核日志

上面指出的角色，你的企业可能没有定义这些角色，大多企业都是一人兼顾多责。

1.3PCI和日志数据

PCI DSS对于日志记录和监控的强制关键领域是需求10和需求11的各个部分。 为了达到依从性，你必须实现需求；它是必要的条件。在PCI DSS文档中，需求10陈述“跟踪和监控对网络资源和持卡人数据的所有访问”。需求11陈述“定期测试安全系统和过程”。需求12陈述“维护一个处理所有个人信息安全的策略”。

1.3.1关键需求

10.1 需求10.1涵盖的是“建立一个过程，将对系统组件的所有访问(特别是使用根用户等管理权限完成的访问)与每个单独用户联系起来。”这确实是一个而有趣的需求；它不仅强制日志的存在或者建立日志记录过程，还提到日志必须与个人绑定(不是计算机或者生成日志的“设备”)。这个需求常常给PCI实施者造成问题，因为许多人认为日志是“人的操作记录”，而现实中他们只拥有“计算机的操作记录”。将后者映射到实际用户往往带来额外的挑战。顺便说一句，PCI DSS需求8.1强制企业“在允许用户访问系统组件或者持卡人数据之前，要为他们分配唯一的ID”，这一条目使日志在此更加有用。   10.2 10.2定义了需要记录的系统事件的最小列表，这些需求的动机是为了评估和监控用户操作，以及可能影响信用卡数据的其他事件。 下面是PCI DSS需求中的列表：

• 10.2.1 访问持卡人数据的所有单独用户。

• 10.2.2 具有根或者管理权限的任何个人进行的所有操作。

• 10.2.3 对所有审计跟踪的访问。

• 10.2.4 无效的逻辑访问企图。

• 10.2.5 标识和身份认证机制的使用。

• 10.2.6 审计日志初始化。

• 10.2.7 系统级对象的创建和删除。

可以看出，上述列表