03시작하기 — Log Server·SmartEvent 배포시작하기 — Log Server·SmartEvent 배포

로그와 이벤트는 사용자가 직접 꾸밀 수 있는 뷰(view)와 리포트(report) 로 봅니다. 이때 쓰는 GUI 클라이언트는 다음과 같습니다.

여전히 지원되는 전용 GUI 클라이언트도 둘 있습니다.

SmartView GUI 클라이언트 접근 권한

관리자의 접근은 GUI Clients 목록 으로 제한할 수 있습니다. IP 주소, IP 범위, 네트워크, 호스트 이름 을 기준으로 누가 어디서 접속할 수 있는지를 정하는데, 이 목록은 해당 Security Management Server나 Multi-Domain Server에 정의된 GUI 클라이언트 접근 설정을 따릅니다.

SmartEvent GUI 열기

SmartView Monitor GUI 열기

Security Gateway(또는 Cluster Member)는 네트워크 로그 를 만들고, Management Server는 관리자가 한 작업을 기록하는 audit 로그 를 만듭니다. 어떤 규칙이 로그를 남길지는 그 게이트웨이에 설치된 Security Policy가 결정합니다.

로그는 다음 세 곳 중 하나에 저장됩니다.

Log Server는 단순 저장을 넘어 다음과 같은 로그 관리 작업을 합니다.

이 indexing과 관련해 알아 둘 점이 둘 있습니다.

운영자는 Backup Log Server 를 구성할 수 있습니다.

업그레이드 때 옮길 로그 파일의 보존 기간 설정

R81.20부터 Management Server나 Log Server를 새 버전으로 업그레이드하면, 새 버전으로 옮기는 로그 파일이 최근 180일치로 제한 됩니다. 이 기간은 30일~360일 사이의 값으로 바꿀 수 있습니다.

로그 파일 마이그레이션 일수를 설정하는 절차는 다음과 같습니다.

   touch $FWDIR/conf/upgradeLogData.xml
   

   vi $FWDIR/conf/upgradeLogData.xml
   

   <?xml version="1.0"?>
   <config>
   <ImportLogDays>NUMBER_OF_DAYS</ImportLogDays>
   </config>
   

NUMBER_OF_DAYS 는 30~360 사이의 정수 여야 합니다. 6. 파일을 저장하고 편집기를 빠져나갑니다.

전용 Log Server와 Domain 전용 Log Server

Management Server의 부하를 줄이려면 전용 Log Server를 설치하고, 게이트웨이가 이 Log Server로 로그를 보내도록 구성 할 수 있습니다.

모든 Log Server의 로그를 한 번에 보려면, SmartConsole로 Management Server에 접속한 뒤 Logs & Events 뷰 > Logs 탭 으로 갑니다.

이와 관련해서는 이 장 뒤의 Log Server 배포 와 Domain 전용 Log Server 배포 를 함께 보세요.

Dynamic Log Distribution

R81 이하에서는 모든 Log Server가 모든 로그의 사본을 받았습니다. 한 Log Server가 끊기면 게이트웨이·클러스터는 Backup Log Server에 붙어 거기에도 모든 로그의 사본을 보냈습니다.

R81.10부터는 Dynamic Log Distribution 으로 게이트웨이·클러스터가 활성 Log Server들 사이에 로그를 나눠 보내 도록 구성할 수 있습니다.

이 기능(Use Case)은 다음을 줄여 줍니다.

여러 Log Server 사이에 로그 분산을 구성하는 절차는 다음과 같습니다.

SmartEvent Server와 Log Server는 디스크 공간과 시스템 리소스를 관리하는 최적화 알고리즘 을 씁니다. Logs and Events 데이터베이스가 너무 커지면, 서버는 구성된 임계치(threshold)에 따라 가장 오래된 로그와 이벤트부터 자동으로 삭제 합니다.

Management Server / SmartEvent Server / Log Server에서의 절차

Security Gateway / Cluster에서의 절차

동작 예시

다음 예시들에서 운영자는 이런 임계치를 켰다고 가정합니다.

Daily Logs Retention(일일 로그 보관)

R80.40 이상에서 daily logs retention은 로그를 지우기 전에 며칠 동안 보관할지 를 뜻합니다. 이 값을 잘 맞추면 여유 공간을 손쉽게 관리할 수 있습니다.

여기서 꼭 기억할 점 이 있습니다.

로그 보관 정책은 여러 종류의 서버에서 구성할 수 있습니다.

Security Management Server / 전용 SmartEvent Server / 전용 Log Server에서 구성

여기서 두 가지를 알아 둡니다. - 이 값이 0 이면 서버는 인덱스 로그와 로그 파일을 같은 일수만큼 보관합니다. - 0 보다 큰 값이면 서버는 (인덱스 로그 일수를 채운 뒤) 로그 파일을 그 추가 일수만큼 더 보관합니다.

Multi-Domain 환경 — 모든 Domain Management Server / Domain Log Server에 적용

Multi-Domain 환경 — 특정 Domain Management Server / Domain Log Server에 적용

Multi-Domain 환경 — Global SmartEvent Server에 적용

이 경우에는 SmartConsole이 아니라 구성 파일에서만 설정합니다.

특정 Domain Management Server용 설정을 구성하는 절차는 다음과 같습니다.

   cp -v $RTDIR/conf/log_maintenance_domain_conf.csv{,_ORIGINAL}
   

   cat $RTDIR/conf/log_maintenance_domain_conf.csv
   

"Domain1"·"Domain2" 예시는 다음과 같습니다. (열: Domain_name, audit, files, firewallandvpn, other-resources, smartevent, smartlog, other)

    dos2unix /var/log/log_maintenance_domain_conf.csv
    

    cp -f -v /var/log/log_maintenance_domain_conf.csv $RTDIR/conf/log_maintenance_domain_conf.csv
    cat $RTDIR/conf/log_maintenance_domain_conf.csv
    

    mdsstop ; mdsstart
    

Log Receive Rate(로그 수신 속도)

Management Server·Log Server에서 로그 수신 속도 를 모니터링하는 방법은 sk120341 을 참고하세요.

로깅은 Security Management Server에서 기본으로 켜져 있고, 그렇지 않으면 전용 Log Server를 따로 배포 할 수 있습니다. Log Server를 배포한 뒤에는 반드시 게이트웨이가 로깅하도록 설정 해야 합니다.

원격 Log Server에서 Install Database 기능을 반드시 실행해야 하는 경우 는 다음과 같습니다.

Security Management Server에서 로깅 켜기

전용 Log Server 배포

자세한 내용은 R82 Installation and Upgrade Guide 를 참고하세요.

게이트웨이를 로깅하도록 설정하기

Security Gateway를 로깅하도록 설정하는 절차는 다음과 같습니다.

Log Indexing 켜기

Security Management Server나 Log Server에서 Log indexing을 켜면 로그 쿼리에 걸리는 시간이 줄어 듭니다. Log indexing은 기본으로 켜져 있습니다. 다만 standalone 배포에서는 기본으로 꺼져 있고, standalone 서버 CPU 코어가 4개 이상일 때만 켜는 것이 좋습니다.

수동으로 Log Indexing을 켜는 절차는 다음과 같습니다.

Log Indexing 끄기

디스크 공간을 아끼려고 Log Server를 non-index 모드 로 둘 수 있습니다. 다만 Log indexing을 끄면 쿼리가 더 오래 걸립니다.

Log indexing이 꺼져 있으면 각 Log Server에 SmartConsole로 따로 접속해서 그 로그를 조회 해야 합니다. Management Server에 접속해도 index 모드처럼 모든 로그를 하나로 본 통합 뷰는 얻지 못하며, 각 Log Server에서는 한 번에 로그 파일 하나씩 검색됩니다.

Log Indexing을 끄는 절차는 다음과 같습니다.

검색할 로그 파일을 직접 고르려면 다음과 같이 합니다.

SmartEvent Server 는 Security Management Server 구조에 통합 되어 있어, Log Server와 통신하며 로그를 읽고 분석합니다. SmartEvent는 Security Management Server에서 함께 켜거나, 전용 서버로 따로 배포 할 수 있습니다. Security Management Server만 SmartEvent Server 역할을 겸할 수 있으며, Multi-Domain 환경에서는 반드시 전용 서버에 설치 해야 합니다.

원격 SmartEvent Server에서 Install Database 기능을 반드시 실행해야 하는 경우 는 다음과 같습니다.

SmartEvent 라이선싱

SmartEvent는 다음 두 방식으로 배포할 수 있습니다.

Security Management Server에서 SmartEvent 켜기

시스템 요구 사항

R81 이전 버전에서는 한 버전의 SmartEvent Server를 여러 관리 버전이 관리 할 수 있었습니다.

R81부터는 SmartEvent Server를 같은 버전의 Security Management Server만 관리 할 수 있습니다. 더 낮은 버전의 Security Management Server로 SmartEvent를 관리하는 것은 더 이상 지원되지 않 습니다.

전용 SmartEvent Server 설치

설치 방법은 R82 Installation and Upgrade Guide 를 참고하되, 큰 흐름은 다음과 같습니다.

R82 SmartEvent를 R82 Security Management Server에 연결하기

전용 서버에 SmartEvent Server 와 SmartEvent Correlation Unit 을 구성해 Security Management Server에 붙이는 절차입니다.

Correlation Unit을 겸하는 전용 SmartEvent Server의 고급 구성

전용 SmartEvent Server가 Correlation Unit 역할도 겸할 때는 추가로 다음을 구성합니다.

R82 SmartEvent를 R82 Multi-Domain Server에 연결하기

Global Domain에 연결

특정 Domain에 연결

SmartEvent가 비표준 LEA 포트를 쓰도록 설정하기

타사 Log Server와 로그를 주고받을 수 있습니다. Check Point Log Server와 타사 Log Server는 LEA(Log Export API) 프로토콜 로 로그를 읽으며, Check Point Log Server는 기본으로 포트 18184 를 씁니다. Log Server를 다른 LEA 포트로 쓰도록 구성했다면, SmartEvent Server와 SmartEvent Correlation Unit에도 새 포트를 수동으로 지정 해야 합니다.

기본 LEA 포트를 바꾸는 절차는 다음과 같습니다.

   :lea_port (<new_port_number>)
   

      lea_server auth_port <new_port_number>
      lea_server port 0
      

SmartEvent가 외부 로그를 읽도록 설정하기

외부에서 관리되는 Log Server나 외부 Security Management Server 의 로그를 SmartEvent가 읽도록 구성하려면 sk35288 을 참고하세요.

Multi-Domain Security Management 환경에서는 게이트웨이가 Domain Management Server와 전용 Domain Log Server 로 로그를 보냅니다. Multi-Domain Server는 로그를 통합하며, 로그는 Multi-Domain Server 또는 전용 Multi-Domain Log Server 에 저장됩니다.

R81부터 Multi-Domain Server는 Domain용 전용 Log Server(별도 컴퓨터에 설치) 를 지원합니다. 이 Domain Dedicated Log Server 는 지정한 Domain에서만 로그를 받고, 다른 Domain은 그 로그에 접근하지 못하 게 구성할 수 있습니다. 덕분에 특수한 규제 요건을 맞추기 위해 전용 Log Server를 Multi-Domain 환경과 별도 네트워크에 둘 수 있습니다.

Domain Dedicated Log Server에 보고된 로그는 그 Domain에 권한이 있는 어떤 SmartConsole에서든 볼 수 있습니다. 다만 이 서버는 연결된 Domain Server하고만 직접 통신 하며, 다른 Domain은 그 로그 데이터에 접근할 수 없습니다.

R82 Multi-Domain 환경에서의 절차

R82로 업그레이드한 뒤 필요한 작업

SmartEvent Server나 Domain Dedicated Log Server를 쓰는 모든 환경에서, 어떤 원본 버전에서든 R82로 업그레이드한 뒤에는 반드시 거쳐야 하는 단계 가 있습니다. SmartEvent Server나 Domain Dedicated Log Server를 업그레이드한 다음, 각 Multi-Domain Security Management Server에서 Expert mode로 다음을 실행합니다.

$MDS_FWDIR/scripts/cpm.sh -tm -op reset -d all -sd

R77.x Multi-Domain 환경에서의 절차

CPUSE로 업그레이드

      Log Servers on the Domain Management Server level are not yet supported in R80.x
      

         cp -v $CPDIR/tmp/.CPprofile.sh{,_BKP}
         cat >> $CPDIR/tmp/.CPprofile.sh << EOF
         > export PUV_ERRORS_AS_WARNINGS=1
         > EOF
         

      DAClient stop ; DAClient start
      

   $MDS_FWDIR/scripts/cpm.sh -tm -op reset -d all -sd
   

Advanced Upgrade

      Log Servers on Domain Management Server level are not yet supported in R80.x
      

      export PUV_ERRORS_AS_WARNINGS=1
      

   $MDS_FWDIR/scripts/cpm.sh -tm -op reset -d all -sd
   

관리자에게 다음 권한을 줄 수 있습니다.

이런 권한을 가진 관리자를 정의하는 절차는 다음과 같습니다.

모니터링·로깅·이벤트·리포트 권한 구성

Profile 객체에서 기능마다 Read(읽기) 또는 Write(쓰기) 권한 을 선택합니다.

Monitoring and Logging 기능 — 일부 항목은 다음과 같습니다.

Events and Reports 기능 — SmartEvent 관련 권한은 다음과 같습니다.

Multi-Domain Security Management

Multi-Domain Security Management에서는 각 Event·Report가 한 Domain에 속 합니다. 관리자는 자신의 권한에 따라 해당 Domain의 이벤트만 볼 수 있습니다.

Multi-Domain Security Management의 Policy 관리자는 다음 중 하나일 수 있습니다.

SmartEvent Reports-Only 권한 프로파일

SmartEvent 리포트만 보고 생성 할 수 있는 특별한 권한 프로파일을 정의할 수 있습니다. 이 프로파일을 받은 관리자는 SmartConsole에 들어올 수는 있지만, Logs & Events 뷰에서 Reports만 볼 수 있고 SmartEvent의 다른 보안 정보에는 접근하지 못합니다. 이 권한 프로파일은 Application & URL Filtering 블레이드에만 적용 하거나, 모든 블레이드에 적용 하도록 구성할 수 있습니다. 외부 컨설턴트나 감사자에게 보고서만 열어 줄 때 유용합니다.

SmartEvent report-only 권한 프로파일을 만드는 절차는 다음과 같습니다.

운영자는 예전에 생성된 로그 파일 을 들여와 다시 살펴볼 수 있습니다. 덕분에 SmartEvent를 설치하기 전 과거에 일어난 보안 위협과 패턴 이상 을 되짚어 볼 수 있는데, 취약 호스트를 노린 무단 스캔, 무단 로그인, 서비스 거부(DoS) 공격, 네트워크 이상, 그 밖의 호스트 기반 활동 같은 위협을 조사할 수 있습니다. 과거 특정 기간의 로그를 다시 검토 해, 활동 중이었지만 놓쳤을 수 있는 위협(예: 그사이 동적으로 갱신된 새 이벤트 정의가 이제 과거 기간에 적용될 수 있음)에 자원을 집중할 수 있습니다.

SmartEvent Server에서 로그 파일 들여오기

기본적으로는 최근 1일치 오프라인 로그만 들여올 수 있습니다. 더 많은 날짜를 들여오려면 log indexing 설정을 바꿔야 합니다.

log indexing 설정을 바꾸는 절차는 다음과 같습니다.

   $INDEXERDIR/log_indexer -days_to_index <NUM_OF_DAYS_TO_INDEX> -workingDir $INDEXERDIR/
   

<NUM_OF_DAYS_TO_INDEX> 는 SmartEvent Server가 인덱싱할 최근 일수 입니다. 예를 들어 최근 30일치 로그를 들여와 인덱싱하려면 30 을 줍니다.

SmartEvent Server가 오프라인 로그 파일을 인덱싱하도록 허용하려면 다음과 같이 합니다.

Offline Work for Correlated Events

(SmartEvent GUI > Policy 탭의 Event Policy 기준으로) 의심스러운 로깅 활동을 탐지 하려면, 오프라인 로그 파일을 Correlation Unit에 통과시킵니다. 오프라인 로그 생성 설정은 SmartEvent GUI 클라이언트 > Policy 탭 > General Settings > Initial Settings > Offline Jobs 에 있으며, Security Management Server나 Multi-Domain Server에 연결됩니다. 설정 항목은 다음과 같습니다.

많은 타사 장비가 syslog 형식 으로 로깅합니다. Log Server는 이런 타사 syslog 메시지를 처리하려고 원시 데이터를 Check Point 로그 형식으로 다시 변환 합니다. 이때 Log Server는 syslog parser 를 써서 syslog 메시지를 Check Point 로그 형식으로 바꿉니다.

syslog 메시지를 들여오려면 직접 syslog parser를 정의해 Log Server에 설치 합니다. SmartEvent는 이렇게 변환된 로그를 받아 보안 이벤트로 만들 수 있습니다.

Syslog Parser 생성과 syslog 메시지 들여오기

기본으로 지원되지 않는 제품·벤더의 syslog 메시지를 들여오는 방법은 sk55020 을 참고하세요. 이 문서가 보여 주는 흐름은 다음과 같습니다.

syslog 메시지를 Log Server에 들여온 뒤에는 SmartConsole의 Logs & Events > Logs 탭 에서 볼 수 있습니다.

SmartEvent가 들여온 syslog 메시지를 읽도록 설정하기

Log Server에 syslog 메시지를 들여온 뒤에는, 다른 Check Point 로그처럼 SmartEvent Server(및 다른 OPSEC LEA 클라이언트)로 전달 할 수 있습니다. SmartEvent는 syslog 메시지를 보안 이벤트로 변환 합니다.

SmartEvent Server가 이 Log Server에서 로그를 읽도록 구성하는 절차는 다음과 같습니다.

자세한 쿼리·로그 다루기는 로그 다루기 장을 함께 보세요.