Регулярное проведение резервного копирования

Важно не только проводить резервное копирование основных системных файлов, но и файлов журналов. Если взломщик сможет проникнуть в систему и удалить журналы за несколько недель, вы потеряете много важной информации. Я предпочитаю проводить резервное копирование в несколько мест сети, а также на съемный носитель. В этом случае вероятность потери файлов журналов крайне низка. Кроме того, это позволяет проводить проверку надежности журналов посредством их сравнения. Очень высока вероятность того, что при попытке сокрытия следов, взломщик упустит что-либо. Для повышения надежности нужно проводить цепное копирование из системы А в систему В, С и D. После этого система Сможет провести резервное копирование в систему F и так далее. Теперь взломщик должен быть крайне внимательным, чтобы не пропустить ни одной копии. Если он упустит хоть одну из них, то после сравнения всех копий администратор обнаружит взлом.

Использование одноразовых носителей

В идеале вы должны записывать файлы журналов на одноразовые носители. Запись на такие носители можно проводить только один раз, и не существует возможности изменить или удалить файлы с них. Если файлы записываются сразу при создании, взломщик не сможет подчистить или удалить их. Однако некоторые взломщики отключают ведение журналов сразу после проникновения в систему, так что даже в случае использования одноразовых носителей ничего не будет записываться. Единственное, что можно сделать в этой ситуации — внимательно просматривать файлы журналов в поисках интервалов полного отсутствия ведения журнала. Я встречал компании, где файлы журналов выводились напрямую на принтер. Тогда ни у кого даже не возникнет сомнений в подлинности записей. В этом случае, если взломщик не имеет физического доступа, изменение файлов журналов невозможно.

Кодирование

Если вы проводите кодирование файлов журналов в реальном времени, изменить их без пароля фактически невозможно. Поскольку ключ не записывается в системе, получить доступ к файлам журналов можно только подобрав пароль, что крайне сложно. Однако такой метод приводит к дополнительным затратам ресурсов процессора. Кроме того, ключ должен находиться в безопасном месте. С другой стороны, вы должны быть уверены в том, что доверенные люди имеют доступ к нему, поскольку в случае его утери или увольнения сотрудника можно остаться с большим количеством закодированных файлов журнала и без возможности прочесть их. Я встречался с ситуациями, когда после кодирования файлов никто не мог раскодировать их. В этом случае даже некого было обвинить.

Регулярный просмотр файлов журналов

Только что было описано несколько методов защиты файлов журнала, однако все они не дадут результатов, если эти файлы не будут регулярно просматриваться. Вы должныр гулярно просматривать файлы журналов и искать следы необычной активности в системе.

Администратор должен понимать, что важно использовать большинство, если не все из приведенных методов для защиты файлов журналов. Если вы воспользуетесь одним методом, это лучше, чем ничего, однако этого недостаточно для надежной: Чем лучше защищены файлы журналов, тем больше вероятность обнаружения Помните, что по-настоящему надежная защита не полагается на одну лишь линию защиты. Только комбинируя несколько методов, вы можете надежно защититься от взлома.