เรื่องของความหน้าเชื่อถือของก็เก็บบันทึก และรักษาข้อมูล log ในส่วนของพรบ. คอม ไม่ได้มีการกล่าวชัดเจนว่าต้องทำอย่างไรในทางเทคนิค แต่พรบ. คอม ระบุุว่าข้อมูลที่เก็บต้องน่าเชื่อถือ และต้องไม่สามารถถูกแก้ไขได้ ในประเด็นนี้ต้องทำ Risk Assessment ครับ ประมาณนี้ครับ
- ความเสี่ยงหลักคือ ความเสี่ยงต่อการถูกแก้ไขข้อมูล Log (Non-reputation Data Risk)
- มีภัยคุกคามจาก (Threat)
* Hacker
* Malware
- มีช่องโหว่ (Vulnerability)
* OS/Application ในระบบ Log server
* Data log จากการ fake log และ compromise log
* Network/system Access
- แนวทางการสร้างความมั่นคงปลอดภัย (Security control )
* ต้อง Hardening ระบบ Log server ที่ติดตั้ง เพื่อป้องกัน hacker/malware ได้แก่
-- Patch OS /App อย่างสม่ำเสมอ
-- ปิด service ทั้งหมดที่ไม่มีการใช้งาน เปิดเฉพาะ บริการรับ log
* OS/System Access control
-- หลังการติดตั้งระบบเสร็จ ยกเลิกการใช้งาน root/Administrator และสร้าง user ทดแทนที่เป็น user ที่ต้องถือโดยผู้ประสานงานที่ต้องตั้ง ตามพรบ. และรหัสผ่านของ user ดังกล่าวต้อง secure คือเดาสุ่มยาก และเปลี่ยนทุก 3 เดือน เพื่อป้องกันการ compromise system/data จาก root/Administrator
-- หากเป็นไปได้ควรเข้าใช้งานระบบเฉพาะหน้าเครื่องเท่านั้น แต่หากจะ remote ก็กำหนดให้ใช้ SSH จากเครื่อง user ที่กำหนดเท่านั้น
* Data Log Access Control
-- ข้อมูลของ log ควรใช้ tcp แทน udp ในการรับส่ง เพื่อลดความเสี่ยงต่อการ fake log จาก client
-- ต้องกำหนดเฉพาะ client ที่สามารถรับ log ได้ผ่าน ACL ของ log server เช่น iptables เพื่อลดความเสี่ยงต่อการ fake log จาก client
-- File Permission ของ datalog ต้องให้ user เฉพาะที่ตั้งไว้เท่านั้น เพื่อป้องกันการแก้ไขข้อมูล log
-- ต้องเข้ารหัสข้อมูล log ก่อนเก็บเข้าสู่สื่อบันทึก เช่น DVD, Tape เพื่อป้องกันการแก้ไขข้อมูล log
-- (optional) ติดตั้งโปรแกรม file integrity checker เพื่อกำหนดข้อมูล log ให้ append only เพื่อเฝ้าระวังการแก้ไขข้อมูล log
-- (optional) ใน Log software บางตัวมี feature ของการ encryption ระหว่าง client - server ก็ให้ใช้งาน เพื่อป้องกันความเสี่ยงต่อการ fake log จาก client แต่ว่าในบาง client ไม่ support encryption เช่น network device
-- (optional) ใน Log software บางตัวมี feature ของการเก็บ log แบบ binary ก็ให้ใช้งานแทนการเก็บ log แบบ textfile เพื่อป้องกันการแก้ไขข้อมูล
* Network Access control
-- กำหนด rule firewall ให้สอดคล้องกับการรับส่ง log ว่าเป็นเฉพาะที่กำหนดเท่านั้นเพื่อป้องกันการ fake log และป้องกันการ hack
-- ต้อง set port security ใน switch ที่เชื่อมต่อกับ client เพื่อป้องกันการ fake log และป้องกันการ hack
-- ติดตั้งระบบ monitoring เช่น IPS, IDS แล้วปรับปรุง rule ให้เหมาะสมเพื่อป้องกันการ hack
Security control ข้างต้นเป็น mandatory คือสิ่งที่ต้องทำครับ (ยกเว้น optional) แต่อย่างไรก็ตาม ขึ้นกับองค์กรว่ามี Infra. และ security มากน้อยเพียงใด เช่น นโยบายการใช้งานเครื่อข่ายขององค์กร การติดตั้ง CCTV เป็นต้น
****** อย่างไรก็ตามการใช้งาน security control ต่างๆ ต้องตอบโจทย์กับเจ้าหน้าที่ตำรวจ ณ. ตอนที่เข้ามาขอข้อมูลให้ได้ว่า ข้อมูล log ที่ส่งให้กับศาล มีความน่าเชื่อถือ *****
ที่มา: http://linux.blog.in.th/node/230
ไม่มีความคิดเห็น:
แสดงความคิดเห็น