Logkonsolidering

I Neosec Security server er der indbygget central logkonsolidering. Neosec security server fungerer som syslog server for netværks udstyr og unix baserede systemer. Neosec Security server håndtere også windows eventlogs, der opsamles agentløst via WMI eller via den agent baserede Windows Agent.

For at få det bedste ud af logkonsolidering, bør man følge disse punkter.

NTP

NTP, Network Time Protocol. For at få det bedste ud af central loggnin er at man har samme tid på alle enheder.

NTP sikrer at alle log events på tværs af systemer er synkroniseret. Dette gør at man bedre kan fejlfinde på tværs af enheder når de har samme tid.

Ved Neosec, bliver tiden sat centralt i Neosec serveren. Neosec benytter ikke tiden fra log filerne. Det vil sige at når der komme en event til Neosec bliver den stemplet med den tid der er når den ankommer. Dette sikrer på samme måde med NTP at tiden er synkron ved fejlfinding.

Data Retention

Hvor længe vil du beholde data. Data fylder meget hvis man beholder alle log data.

En god regel er at holde minimum 365 dages log, hvis der er krav til at man skal holde det længere kan man benytte sig af log arkivering. I Neosec er log arkivering automatisk sat til at arkivere logfilerne hver dag. De bliver ZIPet og sendt til den oprettede arkiv folder.

Data i databasen bliver håndteret af Data Retention perioden. Som standard er den sat til at gemme data i databasen i 365 dage. Herefter slettes data.

Der kører et job hver dag som sletter data.

Event Filtre

Med event filtre kan man definere hvad man gerne vil gemme i databasen. Som standard gemmes alle data i rå logfiler som efterfølgende bliver arkiveret. Men det er kun udvalgte events der bliver gemt i databasen.

Backup

Sørg for at der er defineret en backup strategi for din log løsning. Som standard bør man lave inkremmental backup hver dag. Som standard bør man have en offsite kopi af backuppen.

Sikkerhedspolitik

Da man nu ligger inde med en masse data centralt, bør man lave en sikkerheds politik der gør at det kun er udvalgte der kan tilgå overvågning data og logs. I Neosec Security Server skal man have et brugernavn og password for at benytte systemet. Der er audit på de personer der har adgang til systemet via klienterne. Sørg for at selve serveren hvor Neosec Security server er installeret, er beskyttet mod uvedkommende.

Overblik

Neosec Security Server består af flere moduler:

Administration

Administrations interfacet til Neosec Security Server består af en administrations klient, samt en rapport klient. Administrations klienten benyttes til at konfigurere Neosec Security Server, samt de overvågede enheder. Via administrations klienten, kan man analysere de indsamlede data samt for et samlet status overblik over de overvågede enheder.

Storage

Neosec Security Server benytter Microsoft SQL Server for lagring af konfigurations informationer samt de opsamlede performance data og events. Neosec Security Server benytter lokal disk, til lagring af rå logdata, samt arkivering af logs.

Alerting

For afsendelse af alarmer udenfor systemet, benytter Neosec Security Server E-mail, SMS samt Instant Messaging, Microsoft Teams, #Slack. Alarmeringen fungerer ved at der oprettes notifications profiler som tilføjes de enkelte monitorer. For SMS afsendelse kan man benytte lokal SMS modem via Neosec SMS Server, eller via SMS Now integration.