6. Журналювання та аудит

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Журналювання та аудит».

Рекомендацій: 1

v1.1.0

6.1 Переконайтеся, що системний журнал налаштовано (Вручну)

Level 1Вручну

            Оригінал: Ensure syslog is configured (Manual)
        

Журналування системного журналу — це стандартний протокол журналювання, який широко підтримується. Це так рекомендовано лише для розгортання рівня 1, оскільки syslog не підтримує шифрування

💡 Обґрунтування безпеки:

Рекомендується надсилати всі системні журнали на віддалений хост, щоб забезпечити захищений, довгий строкове зберігання та архівування. Це також розміщує копію журналів у другому місці, у якщо первинні журнали (на брандмауері) зламані. Зберігання журналів на віддаленому хості також забезпечує гнучкіший пошук і обробку журналів, а також багато методів ініціювання подій або сценаріїв на основі конкретних подій журналу або комбінацій подій. Нарешті, віддалена реєстрація надає багатьом організаціям можливість об’єднуватися журнали з різнорідної інфраструктури в SIEM (інформація про безпеку та події система управління. Реєстрація в зовнішній системі також зазвичай вимагається більшістю нормативних баз.

⚠️ Вплив на робочий процес (Impact):

Нездатність належним чином зберігати та архівувати журнали критичної інфраструктури призводить до організації без інструментів, необхідних для встановлення тенденцій у подіях чи діяльності, або для ретроспективно аналізувати події безпеки або операційні події за межами збереженого періоду часу журналу на брандмауері. Відсутність віддалених журналів також виводить багато організацій за межі відповідність багатьом нормативним базам.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

У графічному інтерфейсі: – Перейдіть до «Стан» > «Системні журнали» > «Параметри». – Поставте прапорець «Увімкнути віддалене ведення журналу».

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

У графічному інтерфейсі: – Перейдіть до «Стан» > «Системні журнали» > «Параметри». – Налаштуйте параметри «Увімкнути віддалене журналювання».

Значення за замовчуванням: За замовчуванням зовнішнє журналювання не визначено.Додаткова інформація: • https://docs.netgate.com/pfsense/en/latest/monitoring/logs/index.html • https://docs.rapid7.com/insightidr/pfsense-firewall/

ℹ️ Додаткова інженерна інформація (Additional Information):

• https://docs.netgate.com/pfsense/en/latest/monitoring/logs/index.html • https://docs.rapid7.com/insightidr/pfsense-firewall/

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 8.2
IG 1, 2, 3

Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.

CIS Controls V8: 8.5
IG 1, 2

Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

CIS Controls V8: 8.12
IG 1

Collect Service Provider Logs Collect service provider logs, where supported. Example implementations include collecting authentication and authorization events, data creation and disposal events, and user management events.

CIS Controls V7: 6.2
IG 1, 2, 3

Activate audit logging Ensure that local logging has been enabled on all systems and networking devices.

CIS Controls V7: 6.3
IG 1, 2

Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.

До повного змісту CIS pfSense Firewall Benchmark →