Модуль создания отчетов

МЭ сохраняет все события в журнале событий. Из-за большо­го количества событий, происходящих в МЭ, журнал событий очень быстро заполняется и содержит низкоуровневые данные (время, протокол, IP-адреса и порты отправителя и назначения, имя пользо­вателя, действие МЭ и др.), которые сложно анализировать (осо­бенно если они накоплены на большом промежутке времени или при интенсивной сетевой нагрузке). Задача модуля создания отче­тов состоит в обработке этих данных и представлении на их осно­ве результирующих данных (распределение временной загрузки, распределение используемых служб, IP-адреса, с которых пред­принимались попытки несанкционированных подключений, статис­тика работы пользователей и т. п.). Если МЭ содержит много при­кладных посредников, например HTTP, то в журнале событий может быть представлена информация о наиболее посещаемых узлах, вы­явлена информация о посещении узлов сомнительного содержания или развлекательного назначения.

Генераторы отчетов могут поддерживать следующие функци­ональные возможности:

• экспорт отчета в распространенные форматы файлов - MS

Word, MS Excel, HTML, RTF;

• автоматическая подготовка и отправка по электронной почте администратору МЭ, в файл, на принтер или приложение сформи­рованных отчетов по расписанию;

• формирование отчетов в режиме online;

• создание шаблонов, позволяющих получать отчеты различ­ной направленности;

• преобразование IP-адресов в доменные имена, извлечение до­полнительной информации из БД Whois регистрационных центров Интернет (RIPE, RIPN, APNIC и др.);

• подсчет стоимости использования ресурсов на основе объе­ма трафика (accounting).

Отчеты, предоставляемые МЭ, играют огромную роль при про­ведении периодического анализа безопасности и, в особенности, анализа произошедших инцидентов. Тем не менее анализ отчетов, не исключает анализа журналов в ручном режиме администрато­ром безопасности. Дело в том, что большинство генераторов от­четов консолидируют большие объемы данных и предоставляют обобщенную отчетную информацию прежде всего для руководи­телей организаций и IT-служб. Разбор инцидентов безопасности, углубленный анализ состояния ИБ требуют работы с журналами событий непосредственно. В этом случае используются средства просмотра журналов с возможностью формирования произвольных

запросов.

На рис. 2.3 приведен пример отчета о блокированных МЭ па­кетах, полученный генератором fwanalog. Отчет позволяет сде­лать следующие выводы:

• зарегистрировано 69 блокированных пакетов от одного источ-

ника212.17.85.31;

• нарушитель пытался получить доступ к службам FTP, MAP, PRINTER, TELNET, SWAT, POSTGRES, LINCONF, POPS, XWINDOW и службам TCP на портах 6001, 6002. Причем наи­большее внимание уделялось службам FTP, IMAP, PRINTER, TELNET, а для остальных, скорее всего, была предпринята попыт­ка сканирования;

Рис. 2.3. Фрагмент отчета «Blocked Packet Report», созданного генератором отчетов fwanalog

Рис 2.4. Генератор отчетов сообщений МЭ WebTrends Firewall Suite

• попытки доступа осуществлялись с 31 марта по 7 апреля.

Для более глубокого анализа действий злоумышленника необ­ходимо детально проанализировать все события безопасности, за­регистрированные для этого адреса. При этом может быть полу­чена следующая информация:

• последовательность действий злоумышленника во времени;

• список сервисов, к которым получил доступ злоумышленник (на основе анализа разрешенных пакетов, журналов прикладных посредников и прикладных сервисов);

• предпринятые действия злоумышленника на предоставлен­ных сервисах (на основе анализа журналов прикладных посредни­ков и прикладных сервисов), а также аналогичные действия с дру­гих адресов источника;

• особенности блокированных пакетов -тип сканирования (TCP Connect, Stealth Scan и др.), атаки отказа в обслуживании;

• события ОС, связанные по времени с анализируемыми собы­тиями.

Процедура создания отчета особенно за большой промежуток времени может потребовать значительных системных ресурсов, поэтому в ряде случаев целесообразно анализ событий безопасно­сти выносить за переделы МЭ.

Как правило, МЭ не предоставляют развитых средств созда­ния отчетов. Продукты третьих производителей заполняют этот пробел (см. «Средства мониторинга и создания отчетов МЭ»), Если в МЭ не предусмотрены средства генерации отчетов и отсутству­ют генераторы, поддерживающие формат журнала событий МЭ, то в этом случае можно преобразовать сообщения в формат WELF и воспользоваться продуктом WebTrends Firewall Suite (рис. 2.4).

Дата добавления: 2014-01-07