안녕Ȣ16;세요.
현1116; 회사에서 Windows 2019 파1068;서버를 운영1473;1077;니다.
사용내용1008; 단순 파1068;1032; 1200;1109; 0143; 공유, 사용1088;에 따른 1217;근 권한 1221;도가 .104;,192;습니다.
1060; 파1068;서버에 보안1012; 1201;용Ȣ16;/140;고 파1068;1032; 생성, 삭1228;, 변ᅆ1;, 1217;근 /196;그를 남기고 보lj16; 기능1060; 1080;lj16; 솔루션1012; 찾고 1080;습니다.
Windows 감사기능1012; 사용Ȣ16;니 1060;벤트/196;그가 너무 크고 보기가 불편해서 1201;1208;한 솔루션1060; 아닌,163; 같습니다.
또한 복사1032; ᅆ1;우lj16; 감사가 안.104;더군요..
그래서 솔루션1012; ,160;토Ȣ16;lj16; 1473;1064;데 공유.108; 파1068;1032; 모든 변ᅆ1; 사항1012; 추1201;Ȣ16;고 /196;그/196; 남기고 (추후 법1201;1064; 1613;,144;/196; 사용Ȣ16;기 위해서) 확1064;Ȣ16;기 편한 솔루션1060; 1080;1012;까요 ?
Windows, Linux 관계없습니다.
베스트lj16; Google SSO 통합 + 공유.108; 모든 파1068;1032; 변ᅆ1;사항 /196;그 기/197; + 관리1088;가 관리를 편Ȣ16;,172; 할수 1080;1004;면 1339;,192;습니다.
ᕬ1;, 구성Ȣ16;ǯ12;Nj12; ᅆ1;험1060; 1080;1004;시면 1648;나가lj16; 말씀1060;라도 첨Ǻ16;1452;시면 감사Ȣ16;,192;습니다.
Ȣ16;루1032; 시1089;1077;니다. 모.160;들 기ǥ16;1339;고 1600;,144;운 Ȣ16;루 .104;시기 0148;랍니다.
귀한 시간 내서 1069;Ǻ12;1452;셔서 감사합니다.
국내 많은 회사들이 또는 임원들이 "일단 다 수집해" 하는걸 좋아합니다.
그러다 보니 정작 필요한 정보를 찾지 못하는 거구요.
모든 파일의 변경사항을 기록하면 그 자체적으로 LOG가 어마어마 합니다.
저희 고객중에 120명 정도 PC/MAC을 사용하는 회사가 있는데 1일 평균 40만건 정도의 LOG가 나옵니다.
1 근무일에 50만건 정도의 LOG가 나오는 거죠. 이게 그리 큰 숫자가 아닙니다.
그렇기 때문에 "나한테" 딱 맞는 쉽게 추적하고 보여줄 수 있는 패키지 솔류션은 없다고 봐야 합니다.
회사에서 원하는게 뭔지 명확하게 확인하시고 정리를 하면 원하는 것을 얻을 수 있습니다.
목적이 유출방지인지, 랜섬웨어등 자료 손상 방지인지, 더 나아가 의도적인 행위인지, 손상이 된것을 복구하길 원하는지 등이 시작포인트가 될 수 있겠습니다.
예를들어
1. 파일서버에 어떤 DIR에 100개의 파일이 있습니다.
2. Windows CLIENT 1개가 서버에 Network Drive로 연결
3. CLIENT에서 탐색기로 해당 DIR을 열어 봅니다.
그러면 탐색기가 정보를 출력하기 위해서
1. 파일목록을 추출 합니다.
2. 추출된 목록의 모든 파일에 대한 STAT 정보 크기, 생성자, 날짜, 퍼미션, ...
3. 다음에 모든 파일을 PREVIEW 등을 위해서 OPEN-READ-CLOSE를 합니다.
이러한 작업을 설정에 따라서 15초 ~ 180초 마다 수행을 합니다.
일종의 refresh 작업입니다.
1번 refresh에 100개 파일 x 3회 OPEN&READ = 300회 OPEN => LOG가 300개
1일 9시간 근무를 한다고 보고 60초마다 refresh로 설정을 하면
9시간 x 60분 x 300OP/refresh = 162,000 OP => 162,000 LOG
입니다.
MAC 사용자가 있으면 x2 보시고, owncloud등 이 있으면 주기적으로 전체 DISK rescan을 합니다.
보통 소규모 회사에서 1일 100만건 쓰래기 LOG 나오는거 쉽습니다.
윈도우로는 불가능합니다...
자체 엔진으로도 할려면 충분히 하고도 남습니다만 이게 불편하다거나 입맛에 맞게 하고 싶다면 돈주고 솔루션 구입하는거죠.
누군가 파일을 열었는데 이게 정상적으로 사용을 하기 위해서 열었는지, 유출을 하기 위해서 열었는지를 구분할 수 있는 정보가 없습니다.
특정 프로그램이 순간적으로 파일을 스캔/read하면 ransomware다 라고해서 break를 거는 솔루션들도 있었는데 백업이나 anti-virus하고 충돌도 많이 나구요
삭제를 하는데 이게 의도적인 삭제인지 실수로 하는 삭제인지, 의도적이라면 정상적인 삭제인지 불손한 의도를 가지고 한 삭제인지 등 봐야 하는게 너무 많습니다.
일한 (+ 더 많은) 이유들 때문에 단순하게 LOG를 DB에 넣고 query 던지는 수준으로 분석이 불가능 합니다.
특정 폴더에 이상한 파일이 쌓여서 이게 누가 쌓이게 하는지 무슨프로그램인지 전혀 모를때 감사로그로 추적해서 바로 찾아낸적이 있었습니다.
윈도우 이벤트로그가 교통정리가 안되어서 보기가 힘들었을 뿐이지 저 로그를 기반으로 패턴을 걸어두거나 RSS 밀어넣기 해도 원하는 이벤트만 모니터링 가능합니다.
보안 감사에 나오지 않네요...
혹시 Administrator 기록은 하지 않는 건가요??
전부터 보안감사를 이용하여.. 유저 사용 로그를 모아 Log로 활용 할 수 있지 않나..해서..
여러번 봤었는데. 기록이 않나오더군요...
Windows Server와 7/10 과는 차이가 많습니다
7/8/10은 잘 모릅니다.
추척로그부터 트래킹까지 세부적으로 설정는게 있습니다. 그걸 별도로 활성화 시켜야됩니다.
답변에 있는 정도의 노하우와 경험을 공유해 주시는 것으로도 많은 도움이 됩니다.
결국 어떤 정보를 보고 싶은지를 정의하고 그에 맞는 방법을 찾아봐야겠네요.
시간내서 글을 적어주셔서 감사합니다.
만약 회사에서 솔루션을 도입하거나 적용이 되게되면 저도 내용 공유차 한번 기록해 보겠습니다.
시간내서 신경써 주신 모든 분들에게 감사드립니다.