RI
Size: a a a
2019 July 15
BB
У любого долговременного хранения логов есть цель, в случае же обсуждаемой (хранение логов, относящихся к инциденту ИБ) вопрос целостности прямо таки на первое место вылезает. У меня вот есть случай, что нужны логи по инциденту примерно 3-летней давности. Чтобы либо приобщить кейс к уже имеющимся, либо отбросить
EO
Ruslan Ivanov
Если это очередное поделие хипсторов - ну его
LTO Consortium у вас хипсторы? Таки вы крут, батенька!
NA
GIF-ка из Вашингтона )
BB
Andrei Potseluev
По теории вероятности, это событие ну очень сомнительное. Да, возможное, но...
Если, к примеру, эксперт напишет в своем заключении, что "логи не смогли восстановить полностью", то сразу возникнут дополнительные вопросы. Все от цели зависит
V
Дополню, что по "классике" отсреленные архивы не обязательно хранить на сервере с SIEM, где дорогие быстрые диски. Выделити под это старый сервак с хорошим капасити по хардам 3,5. Забейте его хардами на 4/8ТБ в RAID 1 или 5 и складируйте архивы там.
За RAID5 убивать лицом об стену, публично.
EO
У любого долговременного хранения логов есть цель, в случае же обсуждаемой (хранение логов, относящихся к инциденту ИБ) вопрос целостности прямо таки на первое место вылезает. У меня вот есть случай, что нужны логи по инциденту примерно 3-летней давности. Чтобы либо приобщить кейс к уже имеющимся, либо отбросить
Более того, один из краеугольных камней ИБ в любой большой системе - наличие собственных (GPS/GLONASS) или лучше атомных серверов времени.
NA
За RAID5 убивать лицом об стену, публично.
Религиозная тема
NA
Но да, 5-ка не очень )
AP
Если, к примеру, эксперт напишет в своем заключении, что "логи не смогли восстановить полностью", то сразу возникнут дополнительные вопросы. Все от цели зависит
Согласен. Вопрос, как это все будет организовано. Если они будут складываться какими-то кусками (допустим за сутки) то, вполне вероятно, что поднимут только за интересующие сутки. И то, что какие-то другие повреждены, никто и не узнает даже. Если же запись идет непрерывно, по нарастающей, то да, будут вопросы. Вообще, все субъективно. Если лента в организации есть и не загружена - почему бы и нет. Специально для этого покупать - наверное не стоит.
V
Религиозная тема
В каком месте религиозная? Чистая математика
RI
LTO Consortium у вас хипсторы? Таки вы крут, батенька!
Не, ну эти-то могут.
RI
Более того, один из краеугольных камней ИБ в любой большой системе - наличие собственных (GPS/GLONASS) или лучше атомных серверов времени.
Фигня это всё без PTP/IEEE1588 на сети. NTP для очень больших распределённых сетей или для достаточно удалённых точек не очень подходит.
EO
Ruslan Ivanov
Фигня это всё без PTP/IEEE1588 на сети. NTP для очень больших распределённых сетей или для достаточно удалённых точек не очень подходит.
На каждой удалённой точке - свои атомные часы. В мегарегуляторе намедни 2 из 6 NTP серверов сделали ойойой
RI
Я смотрю, Денис Юрьевич, вы не сторонник полумер.
RI
NA
достаточно Камертон-с навтыкать
RI
Для желающих расширить кругозор, почему PTP = точность синхронизации до микросекунды без больших отрицательных дрифтов, возможных в NTP. http://digitalsubstation.com/blog/2017/08/17/sem-voprosov-o-nbsp-protokole-ptp-posle-kotoryh-v-nbsp-nyom-razberyotsya-kazhdyj/
RI
За RAID5 убивать лицом об стену, публично.
RAID10 - дорого, RAID6 - медленно