《涉密计算机日志审查：涉密计算机安全审计员的操作指南》
在涉密计算机的安全管理体系中，安全审计员承担着重要的职责，其中对日志的检查是确保涉密计算机安全的关键环节，以下将详细阐述涉密计算机安全审计员如何查日志。
一、了解日志的类型和存储位置
1、操作系统日志
- 在Windows系统中，系统日志、应用程序日志和安全日志是主要的日志类型，系统日志记录了操作系统组件的活动，如系统启动、服务启动和停止等信息，应用程序日志包含了各个应用程序运行时产生的事件，而安全日志则侧重于安全相关的操作，如用户登录、权限访问等，这些日志通常存储在系统特定的文件夹中，Windows系统日志默认存储在“%SystemRoot%\System32\Winevt\Logs”文件夹下。
- 在Linux系统中，常见的日志有系统日志（/var/log/syslog或/var/log/messages），它记录了系统的各种信息，包括内核消息、服务启动和停止等；认证日志（/var/log/auth.log或/var/log/secure），主要记录用户认证相关的活动，如登录尝试、密码更改等。
2、应用程序特定日志
- 对于涉密计算机上运行的特殊涉密应用程序，它们通常也会有自己独立的日志文件，这些日志文件的存储位置可能在应用程序的安装目录下，或者根据应用程序的配置存储在特定的自定义文件夹中，某些涉密数据处理软件可能会将操作日志存储在“C:\Program Files\涉密软件名称\Logs”文件夹下。
二、确定审查的时间范围和重点内容
1、时间范围
- 安全审计员需要根据安全策略和实际需求确定审查的时间范围，对于日常检查，可能会查看最近24小时或者一周内的日志，在发生安全事件时，则需要根据事件的可能发生时间进行回溯审查，如果发现涉密计算机在某个特定时间点出现异常网络流量，审计员可能需要查看该时间点前后数小时甚至数天的日志，以确定事件的起因和相关操作。
2、
- 关注用户登录和注销活动，查看是否存在异常的登录时间、登录地点（对于支持IP地址记录的情况）以及登录失败的情况，如果发现有多次来自陌生IP地址的登录失败尝试，可能是外部攻击的迹象。
- 审查文件和文件夹的访问操作，特别是对涉密文件和文件夹的访问，检查是否有未经授权的访问、修改或删除操作，审计员要查看是否有低权限用户试图访问高密级文件的日志记录。
- 留意系统服务和进程的启动和停止情况，异常的服务启动或停止可能表明系统被恶意软件入侵或者存在内部违规操作，如果发现某个与数据加密相关的服务突然停止，而没有合理的解释，这可能是安全风险的信号。
三、使用合适的工具进行日志审查
1、操作系统自带工具
- 在Windows系统中，事件查看器是查看系统日志的主要工具，安全审计员可以通过事件查看器的筛选功能，按照事件类型、时间、用户等条件进行筛选查看，可以筛选出所有的“审核失败”事件，快速定位可能存在的安全问题。
- 在Linux系统中，命令行工具如“grep”、“less”等可以用于查看和搜索日志文件。“grep 'Failed password' /var/log/auth.log”可以快速查找认证日志中密码失败的记录。
2、专业的日志分析工具
- 对于大规模的日志分析或者更深入的安全分析需求，可以使用专业的日志分析工具，如Splunk、LogRhythm等，这些工具可以对日志进行集中管理、实时监控，并提供强大的分析功能，如关联分析、异常检测等，Splunk可以将来自不同来源（如多个涉密计算机的日志）的数据进行整合，然后通过编写查询语句来发现隐藏在日志中的安全威胁模式。
四、分析日志中的异常情况
1、识别异常模式
- 安全审计员需要熟悉正常的日志模式，以便能够识别出异常情况，正常情况下，特定用户每天的登录时间应该在工作时间范围内，如果发现该用户在深夜有登录记录，这就是一种异常模式。
- 观察日志中事件的频率和顺序，如果某个操作（如文件下载）在短时间内频繁发生，超出了正常业务需求的范围，这可能是异常的，或者如果系统服务的启动顺序与正常的启动流程不符，也可能暗示系统存在问题。
2、调查异常事件的根源
- 当发现异常情况后，审计员需要深入调查其根源，这可能涉及到查看相关的用户操作记录、检查系统配置的变化、排查网络连接情况等，如果发现有异常的文件访问，审计员可以查看当时的用户进程信息，确定是哪个程序发起了该访问操作，然后进一步检查该程序的合法性和来源。
五、记录和报告审查结果
1、记录审查过程和发现
- 安全审计员在审查日志的过程中，要详细记录审查的时间、范围、使用的工具以及发现的所有异常情况，这些记录应该以规范的格式保存，以便后续查阅和作为证据，可以使用电子表格或者专门的日志审查记录模板，记录每个异常事件的时间戳、事件描述、可能的影响等信息。
2、报告审查结果
- 将审查结果以报告的形式向上级领导或者安全管理部门汇报，报告应该清晰、简洁地阐述审查的目的、过程、发现的问题以及建议的改进措施，如果发现涉密计算机存在多次外部攻击尝试，报告中应该提出加强网络防护、更新防火墙规则等建议措施，以提高涉密计算机的安全性。
涉密计算机安全审计员通过对日志的全面、细致审查，可以及时发现安全隐患，保障涉密计算机系统的安全稳定运行，保护涉密信息的安全。
评论列表