時(shí)間：2015-06-28 00:00:00 來(lái)源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(0)
??? 合適的日志管理工具能大幅減輕管理企業(yè)系統(tǒng)日志數(shù)據(jù)的負(fù)擔(dān)。但是，除非組織為這個(gè)工具投入一定的時(shí)間和精力，否則再好的工具也會(huì)很快變成一個(gè)差勁的工具。
??? 日志管理最佳實(shí)踐：管理六大要訣 日志管理最佳實(shí)踐：管理六大要訣[2] 合適的日志管理工具能夠大幅減輕管理企業(yè)系統(tǒng)日志數(shù)據(jù)的負(fù)擔(dān)。但是，除非組織為這個(gè)工具投入必要的時(shí)間和精力，否則再好的工具也會(huì)很快變成一個(gè)差勁的工具。Diana Kelley為大家提供了6個(gè)確保成功的日志管理最佳實(shí)踐。
??? 門外漢用上了工具依然是門外漢
??? 如果你不準(zhǔn)備投入時(shí)間和精力在恰當(dāng)?shù)匕惭b、管理日志管理工具上，那么就不要把錢浪費(fèi)在日志管理系統(tǒng)上面。日志管理系統(tǒng)必須進(jìn)行合理的配置，以正確解析您網(wǎng)絡(luò)中的事件和日志，這樣出來(lái)的報(bào)表才具有商業(yè)和技術(shù)價(jià)值。另一個(gè)"愚蠢"的錯(cuò)誤是不去瀏覽和審查告警控制臺(tái)，因而錯(cuò)過(guò)了關(guān)鍵的安全事件。因此，不要犯只重視日志管理技術(shù)而不重視系統(tǒng)使用的錯(cuò)誤。
??? 通過(guò)預(yù)定義需求來(lái)精簡(jiǎn)RFP（請(qǐng)求提案）
??? 創(chuàng)建RFP（請(qǐng)求提案，需求方案說(shuō)明書）是一個(gè)費(fèi)時(shí)的過(guò)程。而一些需求一旦被定義出來(lái)，就能在隨后的RFP中復(fù)用。這在制定日志管理的需求時(shí)很常見，因?yàn)槿罩竟芾淼幕拘枨螅ɡ缛罩疚募母袷?，寫入日志文件的?shù)據(jù)，等等）都是一樣的，可以預(yù)先定義出來(lái)。使用預(yù)定義需求的另一個(gè)好處是這確保了在精簡(jiǎn)RFP周期的同時(shí)保持需求的一致性。
??? 確定你有所需的信息
??? 為了能夠?qū)懗鲇行У年P(guān)聯(lián)規(guī)則，日志管理系統(tǒng)必須有足夠的上下文數(shù)據(jù)進(jìn)行分析。例如，為了確定某個(gè)特定的流量或者行為來(lái)自哪里，就需要知道源IP地址信息，這意味著日志管理系統(tǒng)必須先記錄下IP地址信息，這樣引擎才能夠?qū)⑵浣馕龀鰜?lái)。又例如，如果要寫一條日志分析規(guī)則對(duì)目標(biāo)設(shè)備或者應(yīng)用發(fā)生了某種行為進(jìn)行告警，相關(guān)的日志數(shù)據(jù)必須先記錄下那些行為才行。
??? 不要局限于靜態(tài)分析
??? 大部分組織需要做的最后一件事是將那些沒有整體分析模型的數(shù)據(jù)填寫到另一張大表中，然后利用這張大表來(lái)進(jìn)行事件分析。根據(jù)預(yù)期或者可接受行為的基線設(shè)定的告警不僅要通過(guò)分析大表中單條記錄的特征來(lái)產(chǎn)生，還要通過(guò)分析一組記錄集的特征來(lái)產(chǎn)生。不妨設(shè)想一下關(guān)鍵數(shù)據(jù)庫(kù)的登錄記錄。
??? 一般會(huì)將兩次登錄失敗的行為設(shè)定為觸發(fā)告警的基線，但是如果那個(gè)數(shù)據(jù)庫(kù)系統(tǒng)的密碼策略從使用簡(jiǎn)單的字典單詞變?yōu)槭褂?位以上非字典單詞字符串，那么登錄失敗次數(shù)的基線可能要增大，因?yàn)橛脩粢m應(yīng)新的策略。具有智能感知能力的日志管理系統(tǒng)應(yīng)該可以進(jìn)行調(diào)節(jié)，以監(jiān)測(cè)發(fā)展趨勢(shì)，并為管理員提供反饋。管理員可以決定使用該趨勢(shì)信息臨時(shí)地改變告警閥值。
??? 使用日志數(shù)據(jù)描述正在或者已經(jīng)發(fā)生的事情
??? "日志是檢查故障的極佳信息源"。因?yàn)榇蟛糠智闆r下用戶判斷導(dǎo)致故障原因的所有所需信息都能夠從日志文件中找到。在危機(jī)期間，管理人員經(jīng)常不得不進(jìn)入被動(dòng)模式，往往只能通過(guò)直覺、猜測(cè)、將不可再分的無(wú)關(guān)信息拼湊到一起等方式來(lái)判斷正在或者已經(jīng)發(fā)生的事情。而日志是真實(shí)發(fā)生事件的記錄，日志管理系統(tǒng)允許管理人員針對(duì)故障信息實(shí)時(shí)地撰寫和產(chǎn)生報(bào)表，從而真實(shí)地告訴響應(yīng)小組網(wǎng)絡(luò)中發(fā)生了什么。
??? 使用范疇可以超越安全本身
??? 日志管理系統(tǒng)是一個(gè)絕佳的安全設(shè)備信息收集和分析工具，不僅可以用這些信息實(shí)現(xiàn)安全感知，而且可以利用這些信息實(shí)現(xiàn)其他目標(biāo)。例如，可以將這些信息用于分析（你的）十大業(yè)務(wù)關(guān)系的客戶體驗(yàn)。
??? 許多WEB應(yīng)用分析系統(tǒng)無(wú)法提供展示真實(shí)客戶體驗(yàn)的細(xì)粒度視圖。而設(shè)計(jì)良好的應(yīng)用系統(tǒng)日志可以記錄這些客戶體驗(yàn)，日志管理系統(tǒng)可以通過(guò)這些日志來(lái)分析客戶體驗(yàn)，從而將日志管理系統(tǒng)的運(yùn)用領(lǐng)域擴(kuò)展到安全分析之外。
關(guān)鍵詞標(biāo)簽：Linux,服務(wù)器,操作系統(tǒng)
相關(guān)閱讀
熱門文章
安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程
Tomcat9.0如何安裝_Tomcat9.0環(huán)境變量配置方法
多種操作系統(tǒng)NTP客戶端配置
Linux操作系統(tǒng)修改IP
人氣排行 Linux下獲取CPUID、硬盤序列號(hào)與MAC地址 dmidecode命令查看內(nèi)存型號(hào) linux tc實(shí)現(xiàn)ip流量限制 安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程 linux下解壓rar文件 lcx.exe、nc.exe、sc.exe入侵中的使用方法 Ubuntu linux 關(guān)機(jī)、重啟、注銷 命令 查看linux服務(wù)器硬盤IO讀寫負(fù)載