防火牆日誌審查作業
本文整理自 Allan Lo 於 2024 年 8 月 8 日發表的防火牆日誌審查方法。
日誌審查是資安維運的基本功。防火牆日誌記錄了進出網路邊界的所有行為，定期審查才能及早發現攻擊徵兆與異常活動。以下分成兩部分：有工具輔助時的標準審查方法，以及沒有自動化工具時的人工審查程序。
防火牆日誌審查的八大步驟
- 確定日誌重要性：優先分析警訊（alert）、拒絕連接（deny）與異常流量等高價值紀錄。
- 設置日誌管理系統：利用 SIEM 系統集中收集與分析各設備日誌。
- 定期審查日誌：按日、週、月安排定時審查作業。
- 識別異常活動：搜尋異常 IP、重複的失敗嘗試等可疑跡象。
- 監控攻擊模式：檢測 DDoS、掃描、SQL 注入等常見攻擊型態。
- 記錄並回應事件：建立事件應對計畫，發現異常時依程序處置並留存紀錄。
- 自動化工具應用：導入自動化分析工具，減少人工工作量。
- 持續改進：依審查結果更新防火牆規則與安全策略。
無自動化工具時的人工審查程序
當環境中還沒有 SIEM 或自動化分析工具時，可依以下七個階段人工進行：
- 準備工作：取得日誌存取權限、備妥分析工具。
- 收集日誌：從防火牆導出日誌並載入分析環境。
- 初步審查：以關鍵字篩選出需要關注的紀錄。
- 分析異常活動：檢視可疑 IP 位址與異常行為。
- 詳細分析：分析流量模式，確認是否為攻擊行為。
- 採取行動：記錄事件、通知相關人員、實施防護措施。
- 審查改進：定期回顧審查成效，並持續培訓人員。
實例：掃描攻擊的判讀
一個典型的異常樣態：短時間內多個 IP 對同一目標多次被拒絕連接。這種模式通常代表對方正在進行掃描攻擊（port scanning / probing），應進一步確認來源並考慮封鎖。
完整原文請見原始資料：日誌審查（舊站）