Logging

Thiwaa

[Cyber Security the series] 8. Logging

2026.07.11 公開

コメントはまだありません。

ノートテキスト

ページ1:

.
.
.
.
Logging
Log varnarme computer utunangnihutan digital ninominacha, annany Isinanay User Activity, Application,
Server, Server Network Device
ทานกทม .
AAA Model
1. Authentication to set) คือตอบค่าการ ผู้ใช้งานได
2. Authorization tmwHt) คือการค่ากว่า “ผู้ใช้งานอะไรได้บ
3. Accounting Contain 1994) ก๊อกอาการ “ผู้ใช้งานได้ค่าอะไรลงไปแล้วบ้าง"
Logging 12tumia Accounting anmelinnan Logging "tal No:AM AAA nagy
อาจจะทำให้และสามารถปฏิเส การกระทำได้ Chepucinglion)
Non-repudiation
.
.
Legging ที่สมบูรณ์จะสามารถหน้าที่เป็น "หลักฐาน" ทางดิจิทัลมัก Levidence) กับผู้ได้
• เมื่อวานสามากร: ได้อย่างชัดเจนผ่าน Log จะทำให้ผู้กระทำ activity ดังกล่าวไม่สามาปฏิเสธการกระทำได้
(Non-repudiation)
05 ที่ฝึกใช้พอย่าง Linux (IA: Windows xpanse log ไว้ในอง
TAYO:Non Syslog 11A: Window Event Log
Syslog Protocol no protocol tilshundayla, Unix/Linux server HA: network whis
ลูกซองและเป็นทางการมาตั้งแต่ปี 1910 โดยมีมาตรฐานเช่น RFC3164 แสดงเป็น AEC5429
เป็น prology) ที่ใช้กันในเครื่องและde leg ออกมาภายนอก
เป็นมาตรฐานที่สร้างขึ้นมาเพื่อให้อ่านเข้าใจง่าย
server angladiatontmanmania log in (Centralize Log Sener) Ab Syslog-ny server
1. จาก server ถูกโจมและจัดไปไม่ค่อยสังวล log จะทุกคนไป เพาะได้ส่งไปไว้ที่หาทาง
3. การเก็บข้อมูลไว้ที่หาทาง ภาษาคน log ของกองทัพทางได้เลย ทำให้ประชดพื้นที่ของเครื่อง
4. Log 989 Linux 1:1 nimihin /var/log

ページ2:

Syslog formal
RFC 3164
PRI TIMESTAMP
HOSTNAME
MSG (TAG)
MSG (CONTENT)
<34>Oct 11 22:14:15 mymachine su: 'su root' failed for lonvick on /dev/pts/8
.
• PBI no priority rational facility 498 Log (PBI = Facility"
TIMESTAMP O format 70519279: Fins 19tes Mmm dd hh:mm:ss
*
St
·Severity)
.
HOSTNAME hastname, IP 4
MSG
TAG Moons process wit PID (Process ID) Taal: Now": "
CONTENT คือรายละเอียดของงานหรือเหตุเห็นโฆ
RFC 5424
VERSION
PROCID
• HEADER
PRI
TIMESTAMP
HOSTNAME
APP NAME
MSGID
<165>1 2003-10-11T22:14:15.0032 wymachine.example.com evntslog 1047
[exampleSDID@32473 fut-"3" eventSource-"Application" event ID-1011"] BOMAn application event log entry...
MSG
STRUCTURED DATA
.
.
♥ PRI to priority istnials Facility 999 Log (PB) = Facility "s +
•
VERSION 0:1 1 62210 m BFC5424
"
·
Severity)
TIMESTAMP O format 40219379: Finom 1508601 Format mon T.Z
D
9
1985-04-12T23:20:50.52Z
2003-01-24T05:14:15.000003-07:00
- หากไม่มีก าหนดเวลาไว้
HOSTNAME hastname, I
APP-NAME NO TONOS device to Application in massage
PROCID process name, proces id aanisisining "-"
• MSCID no type 909 massage mass RFC 5424 Section 6.2.7
STRUCTURED-DATA NO 109 key value in search With
MSG 19:10g event Tagg: encode αAY UTF-8 $99.5mm
MYA: 104 RFC 5924 Section 6.4. MSG
an
STAUCTURED DATA
RFC 5424 Section 6.3.
Unicode byte order mask (BOM),

ページ3:

Facility vos Log
Numerical Code
0
1
Facility
kernel messages
Numerical Code
Facility
12
NTP subsystem
user-level messages
13
log audit (note 1)
2
mail system
14
log alert (note 1)
3
system daemons
15
clock daemons (note 2)
4
security/authorization (note 1)
16
local we o (local o)
message
5
messages generated internally by syslog
17
local we 1 (local 1)
b
line printer subsystem
18
1
network news subsystem
8
9
WCP subsystem
clock daemons
10
security/authorization
message
(note 1)
11
FTP daemons
552222
local use 2 (local)
19
local use 3 (local 3)
20
local we 4 (local 4)
21
local use 5 (local 5)
local we 6 (local 6)
23
local use 7 (local 7)
Serverity vos Log
Numerical Code
0
Facility
Emergency: 1isian
Alert: Moskvanning
Critical : : อยู่ในขั้นวิกฤ
Error: 1:44 error
Haming: 1:2121 warning
Notice : ระบบปกติ
2
g
4
5
b
1
Debug : Log In debug-level
Informational: Log

ページ4:

.
.
.
Window Logman Unix/Linux ny lag message ngangandi ligg event subsystem
fmAnunt binary format limming syslog distal text message info event woo Hindows risilaianarm
Finn (Event Viewer) and Windows a fins event brann:900
evt, evtx file rondannan filter info Window Log
System Log no log dr. inn program sinomomolinib, as log 19' uptime, mula
• Security Log no log nonacioni, ves as Talina: intel Logan, resource access
service
Application Log no log drinn Window system component ang 1974-1974:19h driver, built-in interface In
Setup Log no log drinnms update nibining application inicially
Forward Events no log in server innan server
Event Level
0
Audit Success
0
Audit Failure
.
Critical
Error
Warning
Information
.
•
โกปกติ 199 993 Window จะเป็นได้ที่
%. Systemroot\system32\config\ [Window XP].
/ Systemroot\system32\ ninert\Logs\[Window 7,10].
%. Systemroot/ \system32\winert\Logs\ [Window Server 2008].
% programdata\Microsoft\config\\Window Server\Logs\[Window Server 2012].
.
Verbose
* joms Audit Window Log.
My AVOIT Policy Tamu Server
•
.
maniates Active Directory server Pal Group Policy (GPO)
maniatal Server orrumla start > RUN → TINA SECPOL. MSC → Mon event a mommi
* Window Log
1. Click Start RUN
2. in regedit Tom Administrator
www.vanonis.com
3. Tulunt key n HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog.
4. nnri subhey nomm: Tald 19:19es Application, Security
5. ที่พบในปุ่ม
1
File
6. nwn Path value
7. nnila Regedit
8. Restart computer

ページ5:

ประเ ด า
Log Source
Potential Log Volume
AAA (TACACS) Access Control Systems - Radius
High
Low
Cloud IAM
Medium
High
Cloud Paas
High
Medium
Cloud Security Controls
Low
Database Audit tools
High
EDR (raw logs)
High
Email Security
Low
High
Endpoint Protection and Response - EDR/XDR-(Alerts/Incidents) Low
High
Value for Threat Protection
High
Medium
Medium
• ช (Volumn)
• ประโยชน์ (Value)
Low
High
Medium:
Value for Advanced Threat Hunting
Medium-High
Low-Medium
High
Medium
Medium - High
File integrity
Low-Medium
High
Medium
Firewall (VPN)
Medium
Medium
Low
Firewall allowed denied
Hiligh
Low
Low
Firewall allowed traffic
High
Low-Medium
Low
Intrusion Prevention/Detection (IPS/IDS)
Low
High
High
LAN/WAN
High
Low
Low
Multi-Factor Authentication (MFA)
Low-Medium
Medium
Privileged Access Management (PAM)
Low
High
Medium
High
Privileged Identity Management (PIM)
Low
High
High
Proxy Logging
High
Low
Low
SD-WAN
High
Low
Sysmon
High
Low
URL Filtering
Website Access
High
Medium
Vulnerability Scanning
Low-Medium
High
High
Medium
Low
Low-Medium
Medium
Medium - High
Low - Medium
Windows Security Event Logs
Medium-High
High
High
1. High Volumn lag
จากการจะเข้า forential Log Volumn มีความตกต่างกันออกไป myria: Lag Source จากคาน High
หมายถึงปมา และทางที่จะเกิดขึ้นมาจาก 149 Source ดังกล่าว เช่น Firewall Aloned. Traffic or Roxie Logging
- หากตัดสินค้า log ประทานเข้า SEA ทั้งหมด จะต้องใช้ทรัมเป็นที่จัดเก็บ: License มหาศาล
- Ibadanan Value for Threat Protection or Value for Advanced Threat Hunting 9: Hirsimit Low
ความว่า แม้ Log ไหลเข้ามา : จาก มักจะนvers (Noice) หรือกากกรองทั่วไปมากกว่า และไม่ได้ต่างกับผู้เล
เลือกที่จะหลีกเลี่ยงหรือกางนอกมากัน 4 กลุ่ม 5064 Posts หรือเรียกหา:ne Block เท่านั้นแทน
-
2. High Value Essentials
MA
Value for Threat Protection & Value for Advanced Threat Hunting Idaman19:41207 Log Source
19 EDR (Endpoint Detection and Response), Intrusion Prevention/Detection (IPS/IDS)
-
- เรียนเสมือนการเปิด
0999 Hacker ไม่ว่าจะเป็นการสั่ง, แก้ไขไฟล
มาพร้อม Volumn ที่ High we Medium - High
3. The Best Rol (Return of Investment)
-
-
กลุ่ม Log ที่มี Volumn 1 กัน low tire Value Pru High Teri Lag ที่คุ้มค้าที่สุดในการ เก็บเพื่อใช้สำหรับการป้องกัน
tom Threat Hunting rival Instrusion Prevention System (IPS/IDS), Privileged Access Management
(PAM/PIM) or Cloud Security Controls
- แม้ว่าจะสร้าง Log ปริมานไม่มากนัก เมื่อทานกัน Frieval ถือว่าเนี่ย ที่สำคัญให้กับ 60C Teron อย่างมาก