4. Журналювання та аудит
Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Журналювання та аудит».
Рекомендацій: 11
VMware ESXi 8.0 v1.4.0
4.1 Хост повинен налаштувати постійне розташування журналу для всіх локально збережених системних журналів (Вручну)
Налаштуйте параметр Syslog.global.logDir, щоб указати постійний каталог для системи журнали, забезпечуючи їх збереження під час перезавантаження. Це можна встановити для каталогу на підключені томи NFS або VMFS, крім томів за замовчуванням, які є в пам’яті файлова система, яка зберігає журнали лише за один день.
Постійне зберігання журналів має вирішальне значення для аудиту, моніторингу подій і діагностики питань. Без постійного журналювання критичні показники компрометації та активності користувача журнали втрачаються під час кожного перезавантаження, що може перешкоджати реагування на інцидент і криміналістиці розслідування.
Немає конкретного функціонального впливу, однак слід звернути увагу на це ємність зберігання, оскільки збільшення зберігання журналів потребуватиме більше місця для зберігання. Якщо єдиний локальне сховище без vSAN є ненадійним носієм SD або USB, налаштування віддаленого журналювання господар радить.
Щоб переконатися, що постійне журналювання налаштовано належним чином, виконайте такі дії з веб-клієнта vSphere:
- Виберіть хост
- Натисніть «Налаштувати», потім розгорніть «Система», а потім виберіть «Додаткові параметри системи».
- Виберіть «Редагувати», а потім введіть у фільтр Syslog.global.LogDir.
- Переконайтеся, що поле Syslog.global.logDir не пусте (нульове значення) або не встановлено явно для непостійного сховища даних або тимчасового розділу. Якщо параметр Syslog.global.logDir вказує на місце розташування «Scratch» (тобто порожнє (нульове значення) або не встановлено явно для непостійного сховища даних або тимчасового розділу), переконайтеся, що параметр «ScratchConfig.CurrentScratchLocation» також вказує на постійне сховище. Крім того, можна використати наступну команду PowerCLI: Page 125 Лише для внутрішнього використання – загальні # Список Syslog.global.logDir для кожного хоста Get-VMHost | Виберіть назву, @{N=”Syslog.global.logDir”;E={$_ | Get-AdvancedConfiguration Syslog.global.logDir | Виберіть -ExpandProperty Values}}
Щоб належним чином налаштувати постійне журналювання, виконайте такі дії з веб-клієнта vSphere:
- Виберіть хост
- Натисніть «Налаштувати», потім розгорніть «Система», а потім виберіть «Додаткові параметри системи».
- Виберіть «Редагувати», а потім введіть у фільтр Syslog.global.LogDir.
- Установіть для Syslog.global.logDir постійне розташування, указане як [datastorename] path_to_file, де шлях є відносно сховища даних. Наприклад, [datastore1] /systemlogs.
- Натисніть OK. Або запустіть таку команду PowerCLI: # Установіть Syslog.global.logDir для кожного хоста Get-VMHost | Foreach { Set-AdvancedConfiguration -VMHost $_ -Name Syslog.global.logDir -Value “
” }
📋 CIS Controls & Нормативні посилання
- https://docs.vmware.com/en/VMware-vSphere/8.0/vsphere-security/GUID-F35D7005-58EB-48AC-99D5-
- B9942EB2A8EF.html?hWord=N4IghgNiBcIM4E84QPYHMQF8g
- http://kb.vmware.com/kb/1033696
- Additional Information:
- Note: Syslog.global.LogDir must be set for each host. The host syslog parameters
- can also be configured using the vCLI or PowerCLI, or using an API client.
IG 1, 2, 3
IG 1, 2
Page 126 Internal Only – General Controls Version Control IG 1 IG 2 IG 3 v7 6.2 Activate audit logging Ensure that local logging has been enabled on all systems and networking devices. ● ● ● v7 6.3 Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements. ● ●
Page 127 Internal Only – General
4.2 Хост повинен передавати системні журнали до віддаленого збирача журналів (Автоматизовано)
Передача системних журналів до віддаленого збирача журналів забезпечує збереження журналів ESXi безпечним і централізованим способом. Ця централізація не тільки дозволяє оптимізувати моніторинг усіх хостів за допомогою єдиного інструменту, а також полегшує сукупний аналіз і можливості пошуку.
Централізація зберігання журналів на віддаленому збирачі журналів значно покращує можливості відстежувати, шукати та аналізувати журнали на кількох хостах. Це центральне сховище забезпечує що журнали захищені від можливого втручання, а також забезпечують надійну довгострокову роботу аудиторський слід. Аналізуючи ці журнали, скоординовані атаки або аномалії, які можуть піти непомітно на окремих хостах можна виявити.
Передача журналів до віддаленого журналу не має негайного функціонального впливу колектор. Однак важливо переконатися, що віддалений збирач журналів працює адекватно захищений і має достатню ємність для зберігання.
Щоб переконатися, що віддалене журналювання налаштовано належним чином, виконайте такі дії з веб-клієнта vSphere:
- Виберіть хост
- Натисніть «Налаштувати», потім розгорніть «Система», а потім виберіть «Додаткові параметри системи».
- Виберіть «Редагувати», а потім у фільтрі введіть Syslog.global.logHost.
- Переконайтеся, що для Syslog.global.logHost встановлено ім’я хоста центрального сервера журналу. Крім того, можна використати таку команду PowerCLI: # Список Syslog.global.logHost для кожного хоста Get-VMHost | Виберіть назву, @{N=”Syslog.global.logHost”;E={$_ | Get- AdvancedSetting Syslog.global.logHost}}
“Syslog.global.logDirUnique” має значення true. Ви повинні налаштувати параметри системного журналу для кожного
хост.
📋 CIS Controls & Нормативні посилання
- https://docs.vmware.com/en/VMware-vSphere/8.0/vsphere-security/GUID-F35D7005-58EB-48AC-99D5-
- B9942EB2A8EF.html?hWord=N4IghgNiBcIM4E84QPYHMQF8g
IG 1, 2, 3
IG 1, 2
IG 1, 2
IG 1, 2, 3
IG 1, 2
Page 129 Internal Only – General Controls Version Control IG 1 IG 2 IG 3 v7 6.5 Central Log Management Ensure that appropriate logs are being aggregated to a central log management system for analysis and review. ● ●
Page 130 Internal Only – General
4.3 Хост повинен реєструвати достатньо інформації для подій (Вручну)
Установіть для параметра Syslog.global.logLevel значення «info», щоб забезпечити запис журналів аудиту достатньо інформації для діагностики проблем і дослідження подій безпеки. Це Параметр забезпечує баланс між докладністю журналу та використанням пам’яті. Параметр Цю поведінку регулює Syslog.global.logLevel із рекомендованим налаштуванням інформації.
Адекватні дані журналу мають вирішальне значення для визначення ознак компрометації, що дозволяє вчасно та ефективне реагування на інциденти кібербезпеки. Рівень “інформація” забезпечує істотне деталі без надмірного споживання ресурсів зберігання.
Більш детальні рівні журналювання потенційно вимагатимуть додаткового місця для зберігання ховаючи важливі записи під менш важливими даними. І навпаки, менш докладні рівні можуть пропускають захоплення важливої інформації, перешкоджаючи ефективній діагностиці та інциденту відповідь.
Перевірте налаштування в графічному веб-інтерфейсі:
- Виконайте команду: esxcli system syslog config get
- Перегляньте результат
- Виконайте команду: esxcli system syslog config logger list
- Перегляньте поточні журнали за допомогою: ls -lh /var/run/log
Виконайте такі дії в графічному інтерфейсі:
- Збільште кількість обертів та/або розмір окремої колоди
- esxcli system syslog config logger set –id=vmkernel –rotate=15 –size=10240
- esxcli system syslog config logger set –id=hostd –rotate=15 — size=10240 Сторінка 131 Тільки для внутрішнього використання – загальне
📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2
Page 132 Internal Only – General
4.4 Хост повинен встановити інформаційний рівень журналювання на інформацію (Вручну)
Встановіть інформаційний рівень журналювання на “info” за допомогою параметра Config.HostAgent.log.level щоб журнали аудиту містили адекватні дані для діагностики та судової експертизи. Цей рівень забезпечує збалансовану кількість деталей, придатну для рутинного аналізу та розслідування. Параметр, який регулює цю поведінку, — Config.HostAgent.log.level з a рекомендоване налаштування інформації.
Рівень «інформація» врівноважує деталі в журналах, допомагаючи в діагностиці та без криміналістики величезні ресурси зберігання.
Більш детальний рівень журналу збільшує обсяг даних, вимагаючи додаткового сховища, тоді як a на менш багатослівному рівні може бракувати важливої інформації для ефективної діагностики та криміналістики.
З оболонки ESXi:
- виконати – esxcli system syslog config get | grep “Рівень журналу”
Використання клієнта vSphere: Host → Configure → System → Advanced System Settings → Syslog.global.logLevel Set: info Виконайте команду: esxcli system syslog config get | grep “Рівень журналу” Перевірка – Рівень журналу: інформація
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
Page 133 Internal Only – General Controls Version Control IG 1 IG 2 IG 3 v8 8.5 Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation. ● ● v7 6.3 Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements. ● ● v7 6.4 Ensure adequate storage for logs Ensure that all systems that store logs have adequate storage space for the logs generated. ● ●
Page 134 Internal Only – General
4.5 Хост повинен вимкнути фільтрацію журналу (Вручну)
Фільтрування журналу можна використовувати, щоб зменшити частоту повторюваних записів журналу та повністю виключати певні події журналу. Використовуючи Syslog.global.logFilters параметр конфігурації, можна вказати критерії фільтрації, які при виконанні викликатимуть визначені події журналу, які потрібно виключити з системних журналів. Контроль допомагає в підтримання чистого, інформативного середовища журналювання шляхом фільтрації небажаних або надлишкові записи журналу. Параметр, який регулює таку поведінку Syslog.global.logFiltersEnable із рекомендованим значенням FALSE.
Повне ведення журналів має вирішальне значення для розуміння та моніторингу поведінки системи. за вимикаючи фільтрацію журналу, адміністратори можуть фіксувати всі події журналу, незалежно від їхнього частота або уявна важливість. Це гарантує повний запис системи діяльність, яка може бути неоціненною для реагування на інциденти та аналізу після інцидентів.
Немає прямого функціонального впливу від деактивації фільтрації журналу. Однак це може призвести у збільшених вимогах до пам’яті файлів журналу через наявність додаткових записів журналу зберігається. Організації повинні забезпечити достатній простір для зберігання журналів і журналів розглянути можливість коригування політики зберігання журналів, якщо це необхідно.
З оболонки ESXi:
- виконати: esxcli system syslog config get | grep -i “Фільтрування журналу”
Виконайте такі дії в графічному інтерфейсі:
- Вимкнути фільтрацію журналу
- виконати команду: esxcli system syslog config logfilter set –log-filtering-enabled=false
- виконати: Get-VMHost | Get-AdvancedSetting -Name Значення передачі “Syslog.global.logFiltersEnable”: False Сторінка 135 Лише для внутрішнього використання – загальне
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
IG 1, 2
IG 1
Page 136 Internal Only – General
4.6 Хост повинен увімкнути журнал аудиту (Вручну)
Увімкнення журналювання записів аудиту на хостах ESXi забезпечує локальне зберігання записів аудиту, відстеження дій, виконаних на хості. Цей захід є ключовим для підзвітність, усунення несправностей і дослідження безпеки. Параметр керуючий така поведінка Syslog.global.auditRecord.storageEnable із рекомендованим параметром ІСТИНА.
Увімкнення журналу записів аудиту має вирішальне значення для забезпечення безпеки та відповідності вимогам оперативне середовище. Він забезпечує видимість діяльності хоста, допомагаючи ідентифікувати та розслідування несанкціонованих або зловмисних дій.
Хоча це корисно для безпеки та відповідності, увімкнення журналювання записів аудиту споживає багато додатковий простір для зберігання на хості, що може вимагати розширеного сховища практики управління для забезпечення оптимальної продуктивності.
З оболонки ESXi:
- Виконати: отримати записи системного аудиту esxcli
Щоб увімкнути журналювання локальних записів аудиту:
- Виконайте команду: esxcli system auditrecords local enable
- Перевірте виправлення за допомогою: esxcli system auditrecords get
- результати проходження: Зберігання записів аудиту Активне: вірно
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
Page 137 Internal Only – General Controls Version Control IG 1 IG 2 IG 3 v7 6.3 Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements. ● ● v7 6.4 Ensure adequate storage for logs Ensure that all systems that store logs have adequate storage space for the logs generated. ● ●
Page 138 Internal Only – General
4.7 Хост повинен налаштувати постійне розташування журналу для всіх локально збережених записів аудиту (Вручну)
Налаштування постійного розташування журналу для локально збережених записів аудиту на хостах ESXi є критично важливо для забезпечення безперервності аудиту. Коли каталог “/scratch” пов’язаний з “/tmp/scratch”, зберігаються записи лише за день, і вони повторно ініціалізуються кожного перезавантаження, створюючи загрозу безпеці. Постійне сховище даних, крім сховища даних vSAN, має бути призначено для журналювання записів аудиту, щоб зберегти записи під час перезавантаження. The Параметр, який регулює цю поведінку, — Syslog.global.auditRecord.storageDirectory.
Постійне розташування журналу захищає записи аудиту, підвищуючи можливість аудиту та можливість діагностики системних подій. Це налаштування допомагає дотримуватися відповідності вимоги та полегшення майбутніх аудитів.
Реалізація цього контролю потребує додаткового місця для зберігання журналів збалансований підхід до управління сховищем, особливо коли локальне сховище не vSAN варіанти обмежені.
З оболонки ESXi:
- Виконати команду – отримати записи системного аудиту esxcli
- переглянути значення, що повертаються
Налаштуйте місце постійного сховища даних за допомогою: esxcli system auditrecords local set \ — directory=/vmfs/volumes/
📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2
Page 140 Internal Only – General
4.8 Хост повинен зберігати один тиждень аудиторських записів (Вручну)
Забезпечення локального сховища для тижневих записів аудиту є обов’язковим, особливо коли використовується віддалене сховище записів аудиту. Це положення є критичним під час очікуваних перерв у доставці запису на віддалену установу, запобігаючи втраті або перезапис аудиторських записів. Параметр, який регулює таку поведінку Syslog.global.auditRecord.storageCapacity із рекомендованим значенням 100.
Зберігання тижневих записів аудиту локально захищає від втрати даних під час перерв з віддаленими сховищами, підтримання відповідності та безперервності аудиту.
Цей контроль безпеки передбачає додаткове використання простору для зберігання журналів, які вимагають можливі коригування в управлінні зберіганням.
Перевірте налаштування в графічному веб-інтерфейсі:
- Перегляньте конфігурацію запису аудиту за допомогою: esxcli system auditrecords get available audit records should span >= 7 days
Збільште обсяг локального зберігання записів аудиту, щоб зберігати журнали аудиту щонайменше за 7 днів. виконати: esxcli system auditrecords local set –size=
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
Page 141 Internal Only – General Controls Version Control IG 1 IG 2 IG 3 v8 8.9 Centralize Audit Logs Centralize, to the extent possible, audit log collection and retention across enterprise assets. ● ● v7 6.5 Central Log Management Ensure that appropriate logs are being aggregated to a central log management system for analysis and review. ● ●
Page 142 Internal Only – General
4.9 Хост повинен передати записи аудиту до віддаленого збирача журналів (Вручну)
Цей елемент керування дозволяє пересилати записи аудиту з хоста ESXi на призначений збирач журналів, що допомагає в моніторингу та аналізі в реальному часі. Параметр, що регулює це поведінка Syslog.global.auditRecord.remoteEnable із рекомендованим значенням ПРАВДА.
Централізоване журналювання полегшує консолідований перегляд дій на хостах ESXi, посилення моніторингу та швидкого виявлення несанкціонованої або аномальної діяльності.
Немає помітного функціонального впливу від увімкнення цього елемента керування; однак належне конфігурація має вирішальне значення для забезпечення надійної передачі журналу та підтримки цілісності і наявність аудиторських записів.
Щоб переконатися, що віддалене журналювання налаштовано належним чином, виконайте такі дії з веб-клієнта vSphere:
- Виберіть хост
- Натисніть «Налаштувати», потім розгорніть «Система», а потім виберіть «Додаткові параметри системи».
- Виберіть «Редагувати», а потім у фільтрі введіть Syslog.global.logHost.
- Переконайтеся, що для Syslog.global.logHost встановлено ім’я хоста центрального сервера журналу. Крім того, можна використати таку команду PowerCLI: # Список Syslog.global.logHost для кожного хоста Get-VMHost | Виберіть назву, @{N=”Syslog.global.logHost”;E={$_ | Get- AdvancedSetting Syslog.global.logHost}}
“Syslog.global.logDirUnique” має значення true. Ви повинні налаштувати параметри системного журналу для кожного
хост.
📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2
Page 144 Internal Only – General
4.10 Хост повинен перевірити сертифікати для кінцевих точок віддаленого журналювання TLS (Вручну)
Під час віддаленого журналювання надзвичайно важливо переконатися, що кінцева точка реєстрації є справжньою та безпечною. Для цього хости повинні перевірити TLS сертифікати цих кінцевих точок. Ця перевірка забезпечує впевненість у тому, що кінцева точка є як автентичні, так і надійні, зменшуючи ризик передачі журналів потенційно зловмисних або ненадійних організацій. Параметр, який регулює таку поведінку Syslog.global.certificate.checkSSLCerts із рекомендованим значенням TRUE.
Забезпечення автентичності та надійності віддалених кінцевих точок журналювання має вирішальне значення для підтримання безпеки та цілісності переданих даних журналу. Перевіривши TLS сертифікати цих кінцевих точок, потенційний ризик атак типу “людина посередині”, дані порушення або ненавмисне розкриття конфіденційної інформації журналу значно зменшено.
Немає прямого функціонального впливу під час перевірки сертифікатів для віддаленого журналювання TLS кінцеві точки. Однак важливо переконатися, що сертифікати використовуються під час реєстрації кінцеві точки є дійсними та актуальними. Якщо ні, можуть виникнути перерви в журналі передачі або потенційні проблеми з довірою, що вимагає керування сертифікатами та регулярні оновлення.
Виконайте команду: esxcli system syslog config get
Виконайте команду: esxcli system syslog config set –check-ssl-certs=true Перевірте за допомогою: esxcli system syslog config отримати виправлений результат має включати: ssl:// Сторінка 145 Тільки для внутрішнього використання – загальне
📋 CIS Controls & Нормативні посилання
IG 1
4.11 Хост повинен використовувати сувору перевірку x509 для кінцевих точок віддаленого журналювання з підтримкою TLS (Вручну)
При використанні віддаленого журналювання з кінцевими точками з підтримкою TLS важливо переконатися максимальна цілісність і автентичність використовуваних сертифікатів. Параметр “x509-strict”. забезпечує вищий рівень безпеки, виконуючи додаткові перевірки дійсності в кореневому ЦС сертифікати під час процесу перевірки. Цей посилений контроль гарантує лише це приймаються справді автентифіковані та надійні сертифікати, мінімізуючи потенціал уразливості. Параметр, який регулює таку поведінку Syslog.global.certificate.strictX509Відповідність рекомендованому значенню TRUE.
Забезпечення суворої перевірки кореневих сертифікатів ЦС забезпечує вищий рівень довіри та безпека в процесі віддаленого журналювання. Прийняття параметра “x509-strict” мінімізує ризик прийняття скомпрометованих або шкідливих сертифікатів, тим самим зменшуючи потенціал для витоку даних, атак типу “людина посередині” або інших порушень безпеки.
Немає негайного функціонального впливу від використання суворої перевірки x509 для TLS- увімкнено кінцеві точки віддаленого журналювання. Однак організації повинні переконатися, що їх CA кореневі сертифікати відповідають суворим критеріям, встановленим цією опцією. Якщо сертифікати не відповідають цим критеріїв, можуть виникати збої в передачі журналів, що вимагає коригування або оновлення сертифікатів, що використовуються. Явне попередження: Syslog.global.certificate.strictX509Compliance = true може переривати підключення до існуючих кінцевих точок системного журналу, якщо їхні сертифікати не відповідають більш суворі вимоги.
З оболонки ESXi: Виконайте команду: esxcli system syslog config get
Використовуйте PowerCLI для виправлення Powershell Сторінка 147 Лише для внутрішнього використання – загальне Get-VMHost | Get-AdvancedSetting -Name “Syslog.global.certificate.strictX509Compliance” | Set-AdvancedSetting -Value $true -Confirm:$false Перевірити за допомогою Get-VMHost | Get-AdvancedSetting -Name “Syslog.global.certificate.strictX509Compliance” Очікуване значення: значення = True
📋 CIS Controls & Нормативні посилання
IG 1
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.