Log Merkezi Ağın Neresine Konumlanır?

Log merkezinin konumu bir yerleşim tercihi değil, güvenlik kararıdır. Yanlış konumlandırılmış bir toplayıcı, korumaya çalıştığı kaydı korumaz.

Tek Yönlü Akış

Temel kural şudur: cihazlar merkeze yazabilmeli, merkeze cihazlardan girilememeli. Kural setinde bu, log portuna gelen trafiğe izin verip ters yöndeki her şeyi kapatmak demektir.

Sebebi doğrudandır. Bir sunucu ele geçirildiğinde saldırganın ilk yapacağı işlerden biri izini silmektir. Kayıtlar o sunucudan erişilebilir bir yerde duruyorsa, silinebilirler.

##

Yönetim Erişimi Ayrı

Merkezin kendi yönetim arayüzü, log alan ağdan farklı bir yerden verilmelidir. Aynı ağdan yönetiliyorsa, o ağa erişen biri hem kayıtları hem de kayıtları tutan sistemi elde etmiş olur.

Arşivin Ayrılması

Canlı sistemde duran kayıt, canlı sistemin riskini paylaşır. Uzun süreli arşivin ayrı bir ortamda, tercihen yazılıp bir daha değiştirilemeyen bir ortamda tutulması, bütünlük zincirinin son halkasıdır.

Erişilebilirlik Tarafı

Merkez, kaynakların hepsine ulaşabildiği bir yerde durmalıdır. Çok şubeli bir ağda bu, şube hatlarının log trafiğini taşıyabilmesi demektir ve hacim hesabı yapılmadan kurulan bir mimari, şube hatlarını gereksiz yere yorar.

Kabaca hesap basittir: günlük kayıt hacmi, hattın boş kapasitesiyle karşılaştırılır. Yetmiyorsa şubede yerel bir ara toplayıcı kurulur ve merkeze sıkıştırılmış olarak, yoğun olmayan saatlerde aktarılır.