05로그 다루기와 쿼리 언어로그 다루기와 쿼리 언어

이 장은 이 모든 기능을 빠짐없이 풀어 정리합니다. Logs 뷰가 어떻게 생겼는지, 어떤 규칙이 어떤 로그를 남기게 할지 정하는 Track 옵션, 세션 로그와 Packet Capture, 검색과 쿼리 언어의 문법, 결과 보기와 컬럼 프로파일, 브라우저로 보는 SmartView Web Application, 로그 고가용성과 syslog 서버 연동까지 차례로 다룹니다.

본격적인 설명에 앞서, 가장 흔한 작업 하나를 끝까지 따라가 보면 전체 그림이 잡힙니다. Drop 동작으로 차단된 연결의 로그 를 찾아 분석하는 예시 절차입니다.

이 짧은 절차 안에 이 장의 핵심이 모두 들어 있습니다 — 어디에 접속하고, 어떤 규칙이 로그를 남기며, 어떻게 추려 보고, 상세를 어떻게 펼치는지입니다. 이제 하나씩 자세히 살펴봅니다.

로그는 SmartConsole의 Logs & Events 뷰 > Logs 탭 에 뜹니다. Management Server의 IP로 접속하면 (indexing이 켜진 경우) 모든 Log Server의 로그를 통합해서 보고, 특정 규칙을 골라 아래 창의 Logs를 누르면 그 규칙이 만든 로그만 추려 줍니다.

화면의 다섯 영역은 각각 다음 역할을 합니다.

기간(Default Time Frame)에 관한 주의

기간 설정은 SmartConsole과 SmartView 사이에서 서로 자동으로 맞춰지지 않으니 헷갈리기 쉽습니다. 몇 가지를 알아 두어야 합니다.

이 동기화 안 됨이 실제로 어떤 결과를 낳는지 예를 들어 보겠습니다.

이때 실제로 내보내지는 레코드는 SmartConsole에서 고른 "Today" 가 아니라, SmartView 기준인 "지난 7일치" 입니다. 화면에서 본 기간과 내보낸 기간이 다를 수 있으니 주의하세요.

어떤 규칙을 추적할지 고르기

로그는 관심 있는 트래픽 패턴을 보여 줄 때 비로소 쓸모가 있습니다. 그러려면 Security Policy가 필요한 규칙을 빠짐없이 추적하도록 해 두어야 합니다. 그런데 여러 규칙을 한꺼번에 추적하면 로그 파일이 커져 디스크 공간과 관리 작업 부담이 늘어 납니다.

이 두 요구를 균형 있게 맞추려면, 사이버 보안을 개선하는 데 도움이 되고, 사용자 행동을 이해하는 데 보탬이 되며, 리포트에 쓸모 있는 규칙만 골라 추적하는 것이 좋습니다.

정책 규칙에서 추적 설정하기

규칙 하나에 추적을 켜는 방법은 간단합니다.

추적 옵션 — 기본 세 가지

규칙의 Track 열 에서 고를 수 있는 기본 옵션은 다음과 같습니다.

고급 추적 옵션 — Detailed Log과 Extended Log

Detailed Log 과 Extended Log 는, 해당 레이어(Layer)에 다음 블레이드 중 하나 이상이 켜져 있을 때만 쓸 수 있습니다 — Application & URL Filtering, Content Awareness, Mobile Access 입니다.

로그 생성 단위 — per Connection과 per Session

로그를 연결마다 하나씩 만들지, 한 세션을 하나로 묶을지 도 고릅니다.

Alert — 알림 트리거하기

추적과 별개로 Alert 옵션을 두면, 로그를 만들면서 동시에 알림을 트리거할 수 있습니다. 각 알림 옵션의 스크립트는 Menu > Global Properties > Log and Alert > Alerts 에서 정의합니다.

세션(Session) 은 사용자가 특정 사이트나 특정 애플리케이션에서 한 활동 묶음 입니다. 세션은 사용자가 어떤 앱이나 사이트에 연결하는 순간 시작되며, Security Gateway는 그 세션 동안 사용자가 한 모든 활동을 하나의 세션 로그 에 담습니다. (이는 상위 source·destination·service를 보여 주는 일반 Security Gateway 로그와 대비되는 방식입니다.)

세션 로그 검색·상세 보기

세션 로그를 찾으려면, Logs & Events 뷰의 Logs 탭에서 다음을 입력합니다.

type:Session

세션 로그의 상세를 보려면, Logs 탭에서 세션 로그를 하나 고른 뒤 아래 창의 탭들을 누릅니다.

어떤 연결이 세션의 일부일 때, 그 연결로부터 세션 로그를 보려면 이렇게 합니다.

세션 타임아웃 바꾸기

기본적으로 세션이 3시간 이어지면 Security Gateway가 새 세션 로그를 시작 합니다. 이 값은 SmartConsole의 Manage & Settings 뷰 > Blades > Application & URL Filtering > Advanced Settings > General > Connection unification 에서 바꿉니다.

특정 규칙이 만든 로그만, Security Policy 화면에서 직접 보거나 Logs & Events > Logs 탭에서 검색 해 볼 수 있습니다.

Security Policy 화면에서 보기

로그를 검색해서 보기 (Rule UID 이용)

예를 들어 이렇게 검색줄에 붙여넣고 Enter를 누릅니다.

특정 레이어의 로그를 Logs 뷰에서 제외하기

어떤 Policy Layer가 만든 로그를 Logs 뷰에서 빼고 싶다면 다음과 같이 합니다.

레이어를 제외했을 때의 동작에는 몇 가지 규칙이 있습니다.

네트워크 트래픽을 직접 캡처할 수 있습니다. Packet Capture 의 내용을 보면 그 로그를 만든 트래픽을 훨씬 깊이 이해 할 수 있습니다. 이 기능을 켜면 Security Gateway가 로그와 함께 packet capture 파일을 Log Server로 보내, 나중에 그 파일을 열어 보거나 저장해 두었다가 정보를 다시 꺼내 볼 수 있습니다. 일부 블레이드는 Custom Threat Prevention Policy에서 기본으로 켜져 있습니다.

Packet Capture를 끄려면(Custom Threat Prevention Policy에서만 가능) 이렇게 합니다.

캡처된 패킷을 보려면 이렇게 합니다.

SmartConsole은 미리 정의된 수많은 쿼리나, 사용자가 만든 쿼리로 로그를 빠르고 쉽게 검색하게 해 줍니다. 쿼리는 하나 이상의 조건(criteria) 을 담을 수 있고, 기존 미리 정의된 쿼리를 고치거나 검색 상자에서 새로 만들 수 있습니다.

미리 정의된 쿼리를 보려면 이렇게 합니다.

미리 정의된 쿼리를 고치려면 쿼리 상자 안을 클릭 해 검색 필터를 더하면 됩니다.

쿼리 텍스트를 직접 입력하려면 이렇게 합니다.

쿼리를 수동으로 새로고침하려면 Refresh(F5)를 누릅니다.

쿼리를 계속 자동 갱신(Auto-Refresh)하려면 Auto-Refresh(F6)를 누릅니다. 켜지면 아이콘이 강조됩니다. 자동 갱신이 켜진 동안 쿼리는 5초마다 갱신되며, 5초 동안 로그가 100건을 넘으면 집계(aggregated)되어 요약 보기 로 표시됩니다.

쿼리 필드 고르기(Selecting Query Fields)

쿼리 검색줄에서 직접 조건을 입력할 수 있습니다. 필드 조건을 GUI로 고르는 절차는 다음과 같습니다.

Action 필터 — 동작별로 거르기

검색 필터 중 하나가 Action 입니다. Action 필터를 고르면 검색에 쓸 수 있는 모든 로그 동작 목록이 뜹니다. 각 동작의 뜻은 다음 표와 같습니다.

표 컬럼에서 조건 고르기(Selecting Criteria from Table Columns)

로그 표의 컬럼 머리글을 이용해 쿼리 조건을 고를 수도 있습니다.

그러면 그 조건이 쿼리 검색 상자에 나타나고 쿼리가 자동으로 실행 됩니다.

새 쿼리 저장하기(Saving a New Query)

자주 쓰는 쿼리는 Favorites 목록에 저장합니다.

쿼리 결과는 수만 건의 로그 레코드 에 이를 수 있습니다. 성능 저하를 막기 위해, SmartConsole은 Results 창에 처음엔 첫 묶음만, 보통 50건 만 보여 줍니다.

아래로 스크롤하면 더 많은 결과가 나옵니다. 스크롤할 때마다 SmartConsole은 Security Management Server나 Log Server의 로그 인덱스에서 레코드를 더 꺼내 결과 묶음에 더합니다. 현재 몇 건이 나왔는지는 Results 창 위쪽에 표시됩니다. 예를 들어 쿼리를 처음 실행하면 15만 건 넘는 결과 중 처음 50건 만 보이고, 아래로 스크롤하면 15만 건 넘는 결과 중 처음 100건 으로 늘어나는 식입니다.

Results 창 오른쪽의 Tops 창 은 상위 source, 상위 action 같은 상위 통계 를 보여 줍니다.

Results 창 꾸미기 — 컬럼 프로파일(Column Profile)

기본적으로 SmartConsole은 쿼리에서 고른 블레이드에 맞춰 미리 정해진 컬럼 묶음 을 보여 줍니다. 이를 Column Profile 이라 합니다. 예를 들면 이렇습니다.

컬럼 프로파일은 쿼리 결과에서 가장 자주 나타난 블레이드를 기준으로 자동 배정 됩니다. 이를 Automatic Profile Selection(자동 프로파일 선택)이라 하며, 기본으로 켜져 있습니다.

Column Profile은 Results 창에 어떤 컬럼이 어떤 순서로 보일지 를 정하며, 환경에 맞춰 바꿀 수 있습니다.

기본 자동 배정을 쓰려면, 컬럼 머리글을 우클릭하고 Columns Profile > Automatic Profile Selection 을 고릅니다.

수동 배정을 기본값으로 쓰려면, 컬럼 머리글을 우클릭하고 Columns Profile > Manual Profile Selection 을 고릅니다.

다른 Column Profile을 수동으로 배정하려면 이렇게 합니다.

Column Profile을 편집하려면 이렇게 합니다.

컬럼 폭을 바꾸려면, Results 창에서 컬럼 오른쪽 경계를 끌어 조정한 다음, 우클릭해 Save Profile 을 고릅니다. 컬럼에 가한 변경은 다음 세션까지 저장 됩니다.

쿼리는 하나 이상의 조건을 담을 수 있고, 기존 미리 정의된 쿼리를 고치거나 쿼리 상자에서 새로 만들 수 있습니다. 미리 정의된 쿼리를 고치려면 쿼리 상자 안을 클릭해 검색 필터를 더하면 되고, 만든 쿼리는 앞에서 본 것처럼 Queries > Add to Favorites 로 저장합니다.

조건을 입력하는 방법은 세 갈래입니다.

강력한 쿼리 언어를 쓰면 조건에 맞는 레코드만 골라 볼 수 있습니다. 복잡한 쿼리를 만들 때는 Boolean 연산자, 와일드카드, 필드, 범위(range) 를 씁니다. SmartConsole로 쿼리를 만들면, 알맞은 조건이 쿼리 검색줄에 표시됩니다.

기본 쿼리 문법은 다음과 같습니다.

[<Field>:] <Filter Criterion>

여러 조건을 한 쿼리에 묶으려면 Boolean 연산자를 씁니다.

[<Field>:] <Filter Criterion> {AND|OR|NOT} [<Field>:] <Filter Criterion> ...

대부분의 쿼리 키워드와 조건은 대소문자를 가리지 않지만, 예외가 있습니다. 예컨대 source:<X> 는 대소문자를 구분 해 Source:<X> 로는 매칭되지 않습니다. 원하는 결과가 안 나오면 대소문자를 바꿔 보거나 대·소문자를 모두 시도 해 보세요. 그리고 조건을 두 개 이상 쓰면 AND가 자동으로 적용 되므로 굳이 적지 않아도 되며, 필요할 때만 OR 등 다른 Boolean 연산자를 적습니다.

조건 값(Criteria Values)

조건 값은 하나 이상의 텍스트 문자열 로 씁니다. 단어·IP 주소·URL처럼 한 단어라면 구분자 없이 그대로 입력하고, 한 단어보다 긴 구절이라면 반드시 따옴표로 감 쌉니다.

한 단어 예시입니다.

구절(phrase) 예시입니다.

"John Doe"
"Log Out"
"VPN-1 Embedded Connector"

IP 주소(IP Addresses)

로그 쿼리에 쓰는 IPv4·IPv6 주소는 한 단어로 셉 니다. IPv4는 점으로 구분한 십진수 표기(dotted decimal)로, IPv6는 콜론(:)으로 적습니다. 예시는 다음과 같습니다.

와일드카드 * 와 표준 네트워크 접미사(suffix)를 함께 써서, 범위 안의 IP에 매칭 되는 로그를 찾을 수도 있습니다.

NOT 값(NOT Values)

필드 키워드 앞에 NOT 을 붙이면, 그 필드 값이 쿼리의 값이 아닌 로그를 찾습니다. 문법과 예시는 다음과 같습니다.

NOT <field>: <value>

NOT src:10.0.4.10

와일드카드(Wildcards)

표준 와일드카드 문자 * 와 ? 를 쿼리에 써서, 로그의 변하는 문자나 문자열에 매칭할 수 있습니다. 와일드카드는 하나만 쓰지 않고 여러 개 써도 됩니다.

예시로 감을 잡으면 됩니다.

조건 값에 단어가 둘 이상이면 각 단어마다 와일드카드 를 쓸 수 있습니다. 예를 들어 Jo N 는 Joe North, John Natt, Joshua Named 등에 매칭됩니다.

필드 키워드(Field Keywords)

미리 정의된 필드 이름을 조건의 키워드로 쓸 수 있습니다. 필드 이름을 쓰면 그 필드에서 조건에 매칭되는 레코드만 나오고, 필드 이름을 쓰지 않으면 모든 필드 에서 조건에 매칭되는 레코드가 나옵니다. 일부 필드는 기본 키워드 대신 입력할 수 있는 키워드 별칭(alias) 도 지원합니다.

필드 이름 쿼리의 문법은 다음과 같습니다.

<field name>:<values>

규칙 번호 를 찾으려면 Rule 필드를 씁니다. 예를 들면 이렇습니다.

rule:7.1

규칙 번호를 필터로 쓰면, 그 번호를 가진 모든 레이어의 규칙 이 매칭됩니다.

반면 규칙 이름 을 찾을 때는 Rule 필드를 쓰지 않고 자유 텍스트(free text) 로 검색합니다. 예를 들면 이렇습니다.

"Block Credit Cards"

필드 키워드 쿼리 예시는 다음과 같습니다.

action:(Reject OR Block)

OR 연산자를 괄호 안에 써서 여러 조건 값을 한 필드에 담을 수 있습니다.

Boolean 연산자(Boolean Operators)

Boolean 연산자 AND, OR, NOT 으로 여러 조건을 엮어 필터를 만들 수 있고, 여러 Boolean 식을 괄호로 묶을 수 있습니다. 연산자 없이 조건을 둘 이상 입력하면 AND가 자동 적용 되며, 괄호 없이 여러 조건을 쓰면 AND보다 OR가 먼저 적용됩니다.

예시로 동작을 확인해 보겠습니다.

blade:"application control" AND action:block

Application & URL Filtering Software Blade에서 트래픽이 차단된 로그를 보여 줍니다.

192.168.2.133 10.19.136.101

두 IP 주소에 모두 매칭되는 로그를 보여 줍니다. AND가 자동으로 가정 됩니다.

192.168.2.133 OR 10.19.136.101

두 IP 주소 중 하나라도 매칭되는 로그를 보여 줍니다.

(blade: Firewall OR blade: IPS OR blade:VPN) AND NOT action:drop

Firewall·IPS·VPN 블레이드의 로그 중 drop되지 않은 것을 모두 보여 줍니다. 괄호 안 조건이 AND NOT 조건보다 먼저 적용됩니다.

source:(192.168.2.1 OR 192.168.2.2) AND destination:17.168.8.2

destination IP가 17.168.8.2 인 경우, 두 source IP에서 온 로그를 보여 줍니다. 필드 조건에 Boolean 연산자를 함께 쓰는 방법을 잘 보여 주는 예시입니다.

SmartView Web Application 은 환경에서 일어나는 이벤트를 분석하는 SmartEvent 클라이언트 중 하나로, SmartConsole과 같은 실시간 이벤트 모니터링·분석 뷰 를 제공합니다. 가장 큰 편의는 클라이언트를 설치하지 않아도 된다 는 점입니다.

SmartView Web Application으로 SmartEvent에 로그인하려면 브라우저로 다음 주소에 접속합니다.

https://<IP Address of Management Server>/smartview/

또는

https://<Host Name of Management Server>/smartview/

여기에는 알아 둘 주의점들이 있습니다.

  Gaia Portal (https://<Server IP Address> 와 https://<Server IP Address>:4434)
  API 문서 포털 (https://<Server IP Address>/api_docs)
  Web SmartConsole (https://<Server IP Address>/smartconsole)
  

SmartView의 장점은 다음과 같습니다.

SmartView 안에서

SmartView는 기본적으로 General Overview 탭으로 열려, 통계·Software Blade·타임라인 등을 보여 줍니다. 이전 세션에서 열어 둔 탭은 그대로 유지 됩니다.

새 탭을 열려면 + 를 누릅니다. Audit Logs 탭은 관리에서 일어난 변경(audit 로그)을, Logs > Logs View 탭은 블레이드 활동을 보여 줍니다.

앞의 사용 사례처럼 먼저 애플리케이션으로 거른 뒤 사용자로 거르려면 이렇게 합니다.

한 사용자의 모든 활동을 스케줄링할 수는 있지만, 특정 임계치(threshold)에서 알림을 트리거하도록 설정할 수는 없 습니다.

어떤 컬럼을 보일지 고르려면 이렇게 합니다.

사용자 표시 환경설정(User Preferences)은 이렇게 정합니다.

SmartView에서 로그 내보내기(Exporting Logs)

필터를 적용해 내보낼 로그를 고른 뒤 내보냅니다. 현재 CSV로만 내보낼 수 있습니다.

내보내기가 성공했다는 메시지가 뜨면 Download 를 누릅니다. 내보낸 로그는 모두 archive 탭에도 나타 납니다.

SmartConsole에서, 게이트웨이가 한 Log Server에 로그를 못 보낼 때 보조(secondary) Log Server로 보내게 구성할 수 있습니다. 이 구성을 뒷받침하려면 여러 Log Server를 하나의 SmartEvent Correlation Unit에 추가 합니다. 그러면 SmartEvent Correlation Unit이 두 서버 모두에서 끊김 없는 로그 스트림 을 받아 모든 로그를 계속 상관분석(correlate)합니다.

Syslog란

Syslog(System Logging Protocol)는 시스템 로그나 이벤트 메시지를 특정 서버, 즉 syslog 서버로 보내는 표준 프로토콜 입니다. 라우터·스위치 같은 대부분의 네트워크 장비에서 켜져 있고, 많은 로그 분석 도구가 syslog를 씁니다. 그런 도구를 쓰려면, Security Gateway가 Check Point 로그를 syslog 형식으로 syslog 서버에 보내 게 해야 합니다.

Check Point가 지원하는 syslog 프로토콜은 RFC 3164(구)와 RFC 5424(신) 입니다. 다만 IPv6 로그와 Software Blade 로그는 지원되지 않 습니다.

Security Gateway 구성하기

기본적으로 Security Gateway 로그는 Security Management Server로 갑니다. 이를 바꿔 게이트웨이가 syslog 서버로 직접 로그를 보내게 할 수 있습니다.

1단계 — SmartConsole에서 syslog 서버 객체 정의하기

먼저 syslog 서버를 나타내는 Host 객체 를 만듭니다.

다음으로 syslog 서버를 나타내는 Syslog Server 객체 를 만듭니다.

2단계 — Security Gateway / Cluster 객체에서 syslog 서버 객체 고르기

여기에는 알아 둘 규칙이 있습니다.

설정을 마쳤으면 OK 를 누르고 정책을 설치(Install policy)합니다.

3단계 — 게이트웨이 로깅 속성 구성하기 (fwsyslog_enable)

커널 파라미터 fwsyslog_enable 는 높은 로그율(high log rate)이 필요한 환경에서 로깅 성능을 최적화 합니다. 다만 이 파라미터는 Check Point Support가 명시적으로 지시할 때만 켜세요.

현재 fwsyslog_enable 값을 보려면 이렇게 합니다.

   fw ctl get int fwsyslog_enable
   

출력에서 "fwsyslog_enable = 0" 은 user space Syslog 데몬을 거친다는(기본값) 뜻이고, "fwsyslog_enable = 1" 은 Gaia OS 커널에서 직접 보낸다는 뜻입니다.

값을 1로 임시로(재부팅하면 사라짐) 바꾸려면 이렇게 합니다.

   fw ctl set int fwsyslog_enable 1
   

값을 1로 영구히(재부팅해도 유지) 바꾸려면 이렇게 합니다.

   vi $FWDIR/boot/modules/fwkern.conf
   

값을 0으로 임시로 되돌리려면 명령줄에서 Expert mode로 로그인해 다음을 실행합니다.

fw ctl set int fwsyslog_enable 0

값을 0으로 영구히 되돌리려면, $FWDIR/boot/modules/fwkern.conf 를 열어 다음 중 하나를 한 뒤 저장하고 재부팅합니다.

CoreXL Firewall 인스턴스의 로그 카운트

Security Gateway / 각 Cluster Member에서 CoreXL Firewall 인스턴스가 보낸 syslog 로그의 현재 개수 를 볼 수 있습니다.

하나의 CoreXL Firewall 인스턴스의 로그 카운트를 보려면, 명령줄에서 Expert mode로 로그인해 다음을 실행합니다.

fw -i <CoreXL Firewall Instance Number> ctl get fwsyslog_nlogs_counter

출력 예시는 다음과 같습니다.

fwsyslog_nlogs_counter = 21

모든 CoreXL Firewall 인스턴스의 로그 카운트를 보려면 이렇게 합니다.

   fw ctl zdebug | grep logs
   

   fw ctl set int fwsyslog_print_counter 1
   

   ;[cpu_2];[fw4_0];Number of logs sent from instance 0 is 43;
   ;[cpu_2];[fw4_0];Number of logs sent from instance 1 is 39;
   ;[cpu_2];[fw4_0];Number of logs sent from instance 2 is 50;
   ;[cpu_2];[fw4_0];Total logs sent from kernel (all instances) = 132;
   

syslog에 관한 더 깊은 내용, 특히 형식 파싱은 Syslog 수동 파싱을, 형식 변환 없이 SIEM과 연동하는 방법은 Log Exporter를 참고하세요. 분석 화면 전반과 리포트는 View와 Report에서 다룹니다.