Tài liệu Nghiên cứu các kỹ thuật xử lý và phân tích log

  • Số trang: 67 |
  • Loại file: PDF |
  • Lượt xem: 273 |
  • Lượt tải: 0

Mô tả:

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG --------------------------------------- Đặng Trần Lê Anh NGHIÊN CỨU CÁC KỸ THUẬT XỬ LÝ VÀ PHÂN TÍCH LOG LUẬN VĂN THẠC SĨ KỸ THUẬT (Theo định hướng ứng dụng) HÀ NỘI - 2019 HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG --------------------------------------- Đặng Trần Lê Anh NGHIÊN CỨU CÁC KỸ THUẬT XỬ LÝ VÀ PHÂN TÍCH LOG Chuyên ngành: Hệ thống thông tin Mã số: 8.48.01.04 LUẬN VĂN THẠC SĨ KỸ THUẬT (Theo định hướng ứng dụng) NGƯỜI HƯỚNG DẪN KHOA HỌC: TS. HOÀNG XUÂN DẬU HÀ NỘI - 2019 i LỜI CAM ĐOAN Tôi xin cam đoan đây là công trình nghiên cứu của riêng tôi, kết quả đạt được trong luận văn là sản phẩm của riêng cá nhân, không sao chép lại của người khác. Trong toàn bộ nội dung của luận văn, những điều được trình bày hoặc là của cá nhân hoặc là được tổng hợp từ nhiều nguồn tài liệu. Tất cả các tài liệu tham khảo đều có xuất xứ rõ ràng và được trích dẫn hợp pháp. Các số liệu, kết quả nêu trong luận văn là trung thực và chưa từng được ai công bố trong bất kỳ công trình nào khác. Tác giả luận văn Đặng Trần Lê Anh ii MỤC LỤC LỜI CAM ĐOAN ....................................................................................................... i MỤC LỤC .................................................................................................................. ii DANH MỤC CÁC KÝ HIỆU, CHỮ VIẾT TẮT ..................................................... iv DANH MỤC CÁC BẢNG..........................................................................................v DANH MỤC CÁC HÌNH ......................................................................................... vi MỞ ĐẦU .....................................................................................................................1 CHƯƠNG 1 - TỔNG QUAN VỀ LOG TRUY NHẬP VÀ PHÂN TÍCH LOG .......3 1.1. Tổng quan log truy nhập ...................................................................................3 1.1.1. Khái niệm log truy nhập .............................................................................3 1.1.2. Các dạng log truy nhập ...............................................................................5 1.1.3. Thu thập, xử lý và phân tích log truy nhập ..............................................13 1.2. Ứng dụng của phân tích log truy nhập ...........................................................14 1.3. Một số nền tảng và công cụ phân tích log ......................................................15 1.3.1. Graylog .....................................................................................................15 1.3.2. Logstash ....................................................................................................17 1.3.3. OSSEC ......................................................................................................18 1.4. Kết luận chương ..............................................................................................20 CHƯƠNG 2 - CÁC KỸ THUẬT PHÂN TÍCH LOG TRUY NHẬP .....................21 2.1. Mô hình xử lý log ...........................................................................................21 2.2. Thu thập và tiền xử lý .....................................................................................22 2.2.1. Thu thập log..............................................................................................22 2.2.2. Tiền xử lý và chuẩn hóa ...........................................................................23 2.3. Các kỹ thuật phân tích log ..............................................................................30 iii 2.3.1. Các kỹ thuật nhận dạng mẫu ....................................................................30 2.3.2. Phân tích mẫu ...........................................................................................33 2.4. Kết luận chương ..............................................................................................33 CHƯƠNG 3 - CÀI ĐẶT VÀ THỬ NGHIỆM ..........................................................34 3.1. Giới thiệu nền tảng và công cụ thử nghiệm ....................................................34 3.1.1. Kiến trúc Graylog .....................................................................................34 3.1.2. Các thành phần của Graylog ....................................................................36 3.1.3. Các tính năng của Graylog .......................................................................38 3.2. Cài đặt .............................................................................................................41 3.2.1. Các mô đun thu thập log...........................................................................41 3.2.2. Hệ thống xử lý và phân tích log ...............................................................44 3.3. Các kịch bản thử nghiệm và kết quả ...............................................................49 3.3.1. Các kịch bản thử nghiệm ..........................................................................49 3.3.2. Một số kết quả ..........................................................................................51 3.4. Kết luận chương ..............................................................................................56 KẾT LUẬN VÀ KIẾN NGHỊ...................................................................................57 DANH MỤC TÀI LIỆU THAM KHẢO ..................................................................58 iv DANH MỤC CÁC KÝ HIỆU, CHỮ VIẾT TẮT Viết tắt API ASCII CSS DNS GELF HTTP ISP JSON LAN LDAP PHP SNMP SQL TCP UDP UI URI URL W3C Tiếng Anh Tiếng Việt Application Programming Giao diện lập trình ứng dụng Interface American Standard Code for Chuẩn mã trao đổi thông tin Hoa Information Interchange Kỳ Cascading Style Sheets Tập tin định kiểu theo tầng Domain Name System Hệ thống tên miền Graylog Extended Log Định dạng nhật ký mở rộng Format Graylog Hypertext Transfer Protocol Giao thức truyền tải siêu văn bản Internet Service Provider Nhà cung cấp dịch vụ Internet Một kiểu dữ liệu mở trong JavaScript Object Notation JavaScrip Local area network Mạng máy tính cục bộ Lightweight Directory Một giao thức ứng dụng truy cập Access Protocol các cấu trúc thư mục Hypertext Preprocessor Một ngôn ngữ lập trình kịch bản Simple Network Giao thức quản lý mạng đơn Management Protocol giản Ngôn ngữ truy vấn mang tính Structured Query Language cấu trúc Transmission Control Giao thức điều khiển truyền vận Protocol User Datagram Protocol Giao thức dữ liệu người dùng User Interface Giao diện người dùng Mã định danh tài nguyên thống Uniform Resource Identifier nhất Đường dẫn tham chiếu tới tài Uniform Resource Locator nguyên mạng trên Internet World Wide Web Tên tổ chức quốc tế lập ra các Consortium chuẩn cho Internet v DANH MỤC CÁC BẢNG Bảng 1.1: Danh sách các tiền tố ..................................................................................8 Bảng 1.2: Các định danh không yêu cầu có tiền tố .....................................................9 Bảng 1.3: Các định danh cần phải có tiền tố ...............................................................9 Bảng 1.4: Các định dạng dữ liệu sử dụng trong W3C Extended Format .................10 Bảng 1.5: Các trường khả dụng trong W3C Extended Format .................................11 Bảng 2.1: Kết hợp địa chỉ IP và User agent ..............................................................24 Bảng 2.2: Kết quả nhận dạng được người dùng 1.....................................................25 Bảng 2.3: Kết quả nhận dạng được người dùng 2.....................................................26 Bảng 2.4: Kết quả nhận dạng được người dùng 3.....................................................26 Bảng 2.5: Ví dụ trường hợp refferer sai ....................................................................29 vi DANH MỤC CÁC HÌNH Hình 1.1: Xem Windows log sử dụng công cụ Event Viewer ....................................3 Hình 1.2: Các bản ghi log sinh ra bởi máy chủ web Microsoft IIS ............................4 Hình 1.3: Các khâu của quá trình thu thập, xử lý và phân tích log ...........................13 Hình 1.4: Kiến trúc điển hình của hệ thống thu thập, xử lý và phân tích log ...........13 Hình 1.5: Màn hình quản lý các nguồn thu thập log của Graylog ............................16 Hình 1.6: Màn hình báo cáo tổng hợp của Graylog ..................................................17 Hình 1.7: Mô hình kết hợp hệ thống Logstash/Elasticsearch/Kibana .......................17 Hình 1.8: Giao diện của Kibana hiển thị kết quả xử lý của Logstash .......................18 Hình 1.9: Giao diện người dùng của OSSEC ...........................................................19 Hình 2.1: Mô hình xử lý log truy nhập .....................................................................21 Hình 2.2: Một ví dụ về nhận dạng phiên dựa trên thời gian .....................................27 Hình 2.3: Một ví dụ về nhận dạng phiên dựa trên cấu trúc trang web ......................28 Hình 2.4: Ví dụ về tham chiếu sai do cache..............................................................30 Hình 2.5: Quá trình sử dụng luật kết hợp ..................................................................31 Hình 2.6: Ví dụ sử dụng trực quan hóa dữ liệu .........................................................33 Hình 3.1: Kiến trúc Graylog tối giản ........................................................................34 Hình 3.2: Kiến trúc Multi-Node Graylog ..................................................................35 Hình 3.3: Các thành phần và tính năng của Graylog ................................................36 Hình 3.4: Ví dụ về vòng đời của log trong Graylog .................................................39 Hình 3.5: Cấu hình Rsyslog trên Linux ....................................................................41 Hình 3.6: Kiểm tra port mà Rsyslog sử dụng............................................................42 Hình 3.7: Cài đặt NXLog trên Windows Server .......................................................42 Hình 3.8: Cấu hình NXLog trên Windows Server ....................................................43 Hình 3.9: Tạo repository cho Elasticsearch ..............................................................45 Hình 3.10: Kiểm tra trạng thái Elasticsearch sau khi cài đặt ....................................45 Hình 3.11: Tạo repository cho MongoDB ................................................................46 Hình 3.12: Kiểm tra dịch vụ MongoDB sau khi cài đặt ...........................................46 Hình 3.13: Cấu hình cho Graylog Server ..................................................................48 vii Hình 3.14: Giao diện truy cập Graylog Web Interface .............................................48 Hình 3.15: Thêm Microsoft IIS input trong NXLog .................................................49 Hình 3.16: Tạo GELF UDP input .............................................................................50 Hình 3.17: Tạo Syslog UDP input ............................................................................50 Hình 3.18: Quản lý các nguồn cung cấp log trên Graylog ........................................51 Hình 3.19: Giao diện tìm kiếm log của Graylog .......................................................51 Hình 3.20: Các địa chỉ được truy cập nhiều nhất ......................................................52 Hình 3.21: Các page được truy cập nhiều nhất .........................................................52 Hình 3.22: Các user-agent truy cập vào website .......................................................53 Hình 3.23: Báo cáo các trạng thái HTTP khi truy cập website .................................53 Hình 3.24: Báo cáo các địa chỉ IP truy cập website ..................................................54 Hình 3.25: Báo cáo thời gian phản hồi khi truy cập website ....................................54 Hình 3.26: Báo cáo thời gian đăng nhập của người dùng .........................................55 Hình 3.27: Báo cáo tình trạng đăng nhập của người dùng........................................55 Hình 3.28: Nhận cảnh báo khi có đăng nhập bất thường ..........................................56 1 MỞ ĐẦU Log (còn gọi là nhật ký, hay vết) là các mục thông tin do hệ điều hành, hoặc các ứng dụng sinh ra trong quá trình hoạt động. Mỗi bản ghi log thường được sinh ra theo 1 hoạt động, hoặc sự kiện, nên còn được gọi là nhật ký sự kiện (event log). Các nguồn sinh log phổ biến bao gồm các thiết bị mạng (như router, firewall,…), hệ điều hành, các máy chủ dịch vụ (máy chủ web, máy chủ cơ sở dữ liệu, máy chủ DNS, email,…) và các chương trình ứng dụng. Mục đích của việc thu thập, xử lý và phân tích log bao gồm:  Kiểm tra sự tuân thủ các chính sách an ninh;  Kiểm tra sự tuân thủ vấn đề kiểm toán và luật pháp;  Phục vụ điều tra số;  Phục vụ phản ứng các sự cố mất an toàn thông tin ;  Hiểu các hành vi của người dùng trực tuyến, trên cơ sở đó tối ưu hóa hệ thống cho phục vụ tốt hơn cho người dùng hoặc quảng cáo trực tuyến. Như vậy, việc xử lý và phân tích log có nhiều ứng dụng, đặc biệt trong đảm bảo an toàn thông tin và cải thiện chất lượng hệ thống và các dịch vụ kèm theo, như quảng cáo trực tuyến. Hiện nay, trên thế giới đã có một số nền tảng và công cụ cho thu thập, xử lý và phân tích các dạng log phiên bản thương mại cũng như mã mở như IBM Qradar SIEM, Splunk, Graylog và Logstash,... Tuy nhiên, việc nghiên cứu sâu các phương pháp xử lý và phân tích log và ứng dụng ở Việt Nam vẫn cần được tiếp tục thực hiện. Đây cũng là mục đích của đề tài luận văn này. Luận văn bao gồm ba chương chính với nội dung như sau: - Chương 1: Giới thiệu tổng quan về log truy nhập và phân tích log: khái niệm log truy nhập, các dạng log truy nhập, các phương pháp xử lý và phân tích log, ứng dụng của phân tích log và giới thiệu một số nền tảng, công cụ phân tích log. - Chương 2: Trình bày các kỹ thuật phân tích log truy nhập: mô hình xử lý log, vấn đề thu thập và tiền xử lý log, các kỹ thuật phân tích log như nhận dạng mẫu và phân tích mẫu. 2 - Chương 3: Trình bày tổng quan về kiến trúc, các thành phần và tính năng của công cụ xử lý, phân tích log là Graylog. Chi tiết quá trình cài đặt các mô-đun thu thập log, hệ thống xử lý, phân tích log của Graylog. Đồng thời, đưa ra một số kịch bản thử nghiệm và kết quả. 3 CHƯƠNG 1 - TỔNG QUAN VỀ LOG TRUY NHẬP VÀ PHÂN TÍCH LOG 1.1. Tổng quan log truy nhập 1.1.1. Khái niệm log truy nhập Log truy cập hay nhật ký, hoặc vết truy cập (gọi tắt là log) là một danh sách các bản ghi mà một hệ thống ghi lại khi xuất hiện các yêu cầu truy cập các tài nguyên của hệ thống. Chẳng hạn, log truy cập web (gọi tắt là web log) chứa tất cả các yêu cầu truy nhập các tài nguyên của một website. Các tài nguyên của một website như các file ảnh, các mẫu định dạng và file mã Javascript. Khi một người dùng thăm một trang web để tìm một sản phẩm, máy chủ web sẽ tải xuống thông tin và ảnh của sản phẩm và log truy cập sẽ ghi lại các yêu cầu của người dùng đến các tài nguyên thông tin và ảnh của sản phẩm. Hình 1.1: Xem Windows log sử dụng công cụ Event Viewer Có nhiều nguồn sinh log trong hệ thống như log sinh bởi hệ điều hành, log sinh bởi các máy chủ dịch vụ mạng, log sinh bởi các ứng dụng và log sinh bởi các thiết bị mạng và thiết bị đảm bảo an toàn thông tin. Log sinh bởi hệ điều hành thường 4 bao gồm các bản ghi các sự kiện khởi động hệ thống, sự kiện đăng nhập, đăng xuất của người dùng, yêu cầu truy cập các file, các thư mục, các yêu cầu kích hoạt ứng dụng, các yêu cầu truy cập phần cứng, các yêu cầu truy cập dịch vụ mạng, các lỗi xuất hiện trong quá trình hoạt động… Hệ điều hành Microsoft Windows sử dụng công cụ Event Viewer (hình 1.1), còn các hệ điều hành thuộc họ Unix/Linux sử dụng công cụ Syslog để quản lý và lưu trữ log do bản thân hệ điều hành và các mô-đun phụ trợ sinh ra. Nguồn log sinh bởi các máy chủ dịch vụ mạng, như máy chủ web, máy chủ DNS, máy chủ email và máy chủ cơ sở dữ liệu là một trong các nguồn log phổ biến nhất. Máy chủ web có thể ghi log truy cập các trang web cho từng website dưới dạng các file văn bản thuần với mỗi dòng là một bản ghi log. Các thông tin trong mỗi bản ghi web log có thể khác nhau phụ thuộc vào phiên bản máy chủ web sử dụng. Hình 1.2 minh họa các bản ghi log tạo bởi máy chủ web Microsoft IIS. Các máy chủ tên miền DNS cũng sinh một lượng lớn log trong quá trình xử lý các yêu cầu phân giải tên miền sang địa chỉ IP và ngược lại từ người dùng. Tương tự, các máy chủ email và cơ sở dữ liệu cũng sinh rất nhiều bản ghi log trong quá trình xử lý các yêu cầu từ người dùng cũng như từ các ứng dụng. Hình 1.2: Các bản ghi log sinh ra bởi máy chủ web Microsoft IIS 5 Các thiết bị mạng và các hệ thống đảm bảo an toàn thông tin cũng là một trong các nguồn sinh nhiều log. Các thiết bị mạng phổ biến như các bộ định tuyến (router), các bộ chuyển mạch (switch) và các hệ thống đảm bảo an toàn thông tin như tường lửa, các hệ thống điều khiển truy cập, các hệ thống phát hiện và ngăn chặn tấn công, xâm nhập cũng sinh nhiều bản ghi log trong quá trình xử lý các yêu cầu truy cập mạng. Log sinh từ các hệ thống này có thể được lưu tại chỗ hoặc xuất ra các hệ thống lưu trữ bên ngoài. Như vậy, có thể thấy có nhiều nguồn sinh dữ liệu log truy cập với nhiều dạng khác nhau. Tùy vào mục đích sử dụng, người quản trị có thể cấu hình hệ thống để lựa chọn thu thập, quản lý và lưu trữ các thông tin cần thiết cho mỗi dạng log. 1.1.2. Các dạng log truy nhập Log truy nhập sinh bởi hệ điều hành và các ứng dụng thường có định dạng riêng. Do phần thử nghiệm trong luận văn này được thực hiện trên web log nên mục này giới thiệu các định dạng web log được sử dụng phổ biến hiện nay bao gồm định dạng web log chuẩn của NCSA (NCSA Common Log Format), định dạng web log kết hợp (NCSA Combined Log Format), định dang web log mở rộng của W3C (W3C Extended Log Format) và định dạng web log của máy chủ web Microsoft IIS (Microsoft IIS Log Format). Trên thực tế hiện nay, mỗi máy chủ web đều hỗ trợ một số định dạng web log trong số các định dạng kể trên. Chẳng hạn, máy chủ web Microsoft IIS hỗ trợ 3 định dạng, bao gồm: NCSA Common Log Format, W3C Extended Log Format và Microsoft IIS Log Format. Ngược lại, máy chủ web Apache hay Apache HTTP Server sử dụng các chuỗi định dạng để hỗ trợ 2 định dạng log bao gồm: NCSA Common Log Format và NCSA Combined Log Format. Người quản trị có thể lựa chọn định dạng web log sử dụng để máy chủ sinh các file web log. 1.1.2.1. NCSA Common Log Format NCSA Common Log Format, hay thường được gọi tắt Common Log Format, là định dạng web log với trường cố định mà không thể tùy chỉnh. Dạng web log này ghi lại các thông tin cơ bản về yêu cầu người dùng, tên của máy khách, tên người dùng, ngày, giờ, loại yêu cầu, mã trạng thái HTTP trả về, số lượng byte gửi về server. 6 Các trường phân trong mỗi bản ghi log được phân cách bởi dấu trắng. Những trường không chứa dữ liệu sẽ được biểu diễn bằng dấu (-), các ký tự không in được sẽ biểu diễn bởi dấu (+). Với máy chủ Apache HTTP Server, định dạng Common Log Format có thể được cấu hình nhờ chuỗi định dạng như sau: LogFormat “%h %l %u %t \”%r\” %>s %b” common Ví dụ, với Common Log Format thì một đầu mục (entry) sẽ có dạng như sau: 127.0.0.1 – frank [10/Oct/2000:13:55:36 -0700] “GET /apache_pb.gif HTTP/1.0” 200 2326 Trong đó, các trường thông tin của đầu mục này gồm:  127.0.0.1 (tương ứng kí hiệu %h): Địa chỉ IP của máy khách gửi yêu cầu đến máy chủ.  Trống (-) (tương ứng kí hiệu %l): Định danh của máy khách.  frank (tương ứng kí hiệu %u): Định danh/tên của người dùng gửi yêu cầu được xác định nhờ thủ tục xác thực HTTP.  [10/Oct/2000:13:55:36 -0700] (tương ứng kí hiệu %t): Thời gian máy chủ kết thúc xử lý yêu cầu, [day/month/year:hour:minute:second theo định zone], dạng sau: hay ngày/tháng/năm:giờ:phút:giây và múi giờ. Trong đó, day = 2*digit, month = 3*letter; year = 4*digit; hour = 2*digit; minute = 2*digit; second = 2*digit và zone = (‘+’ | ‘-‘) 4*digit.  “Get /apache_pb.gif HTTP/1.0” (tương ứng kí hiệu \”%r”\”): Yêu cầu của máy khách gửi lên máy chủ.  200 (tương ứng kí hiệu %>s): Mã trạng thái mà máy chủ gửi trả về cho máy khách.  2326 (tương ứng kí hiệu %b): Kích thước của gói tin trả về cho máy khách, không bao gồm header. 7 1.1.2.2. NCSA Combined Log Format NCSA Combined Log Format gọi tắt là Combined Log Format về cơ bản tương tự Common Log Format, ngoại trừ việc nó bổ sung thêm hai trường thông tin ở cuối là Referrer (Liên kết tham chiếu) và User agent (Máy khách người dùng). Với Apache HTTP Server, định dạng này có thể được cấu hình nhờ chuỗi định dạng như sau: LogFormat “%h %l %u %t \”%r” %>s %b \”%{Referer}i\” \”%{Useragent}i\”” combined Ví dụ, với Combined Log Format, một đầu mục sẽ như sau: 127.0.0.1 - frank [10/Oct/2000:13:55:36 -0700] “GET /apache_pb.gif HTTP/1.0” 200 2326 “http://www.example.com/start.html” “Mozilla/4.08 [en] (Win98;I;Nav)” Các trường được bổ sung bao gồm:  http://www.example.com/start.html (tương ứng kí hiệu \”%{Referer}i\”): Cho biết trang web người dùng đã thăm trước khi đến trang hiện tại.  Mozilla/4.08 [en] (Win98; I ;Nav)” (tương ứng kí hiệu \”%{Useragent}i\”): Cho biết thông tin về trình duyệt và hệ điều hành máy khách đang sử dụng. 1.1.2.3. W3C Extended Log Format Hiện nay, W3C Extended Log Format [6] đề xuất bởi The World Wide Web Consortium (W3C) là định dạng được sử dụng rộng rãi nhất và được hầu hết các máy chủ web hỗ trợ. Định dạng web log này có các khả năng:  Hỗ trợ kiểm soát những thông tin sẽ được ghi trong web log.  Hỗ trợ một định dạng web log chung cho cả proxy, máy khách và máy chủ web.  Cung cấp một cơ chế mạnh mẽ xử lý các vấn đề và các ký tự thoát (character escaping).  Cho phép trao đổi dữ liệu nhân khẩu học (demographic).  Hỗ trợ tổng hợp dữ liệu. 8 Một file log theo định dạng W3C Extended Log chứa một tập hợp các dòng văn bản thuần gồm các ký tự theo chuẩn ASCII (hoặc Unicode) được phân tách bởi ký tự xuống dòng (LF hoặc CRLF). Các file log khác nhau sẽ có ký tự kết thúc dòng khác nhau tùy thuộc vào quy ước kết thúc dòng của nền tảng hoạt động. Trên mỗi dòng thường có một chỉ thị (directive) hoặc một đầu mục (entry). Phần tiếp theo mô tả chi tiết về 2 thành phần này. - Các chỉ thị: Các dòng bắt đầu bằng ký tự “#” thì sẽ chứa các chỉ thị. Chúng chứa các thông tin mô tả về file log. Các chỉ thị với định dạng W3C Extended Log bao gồm:  Version: .: Chỉ ra phiên bản của định dạng log được sử dụng.  Fields: […]: Liệt kê danh sách các trường được ghi lại trong tệp log.  Software: string: Chỉ ra phần mềm tạo ra log:  Start-Date:
- Xem thêm -