|
CyberGuard Firewall의 Report->Audit Logs Criteria 윈도우를 사용하면 방화벽에 저장되어 있는 각종 기록들을 운영자가 원하는 항목에 관련된 사항만 뽑아 볼 수 있다.
예를들어, Audit logs Criteria의
 Type : Network Event
Constraint : permit
라고 지정하고, Time Range를 적당히 지정한 후 Apply 버튼을 누르면 아래와 같은 텍스트가 출력된다.
Command Line Entered: /usr/sbin/auditrpt -M -B 020612001998 -E 020613001998 -n permit
DATE: 0206, LOG NUMBER: 001, AUDIT VERSION: 4.0
MACHINE ID: UNIX_SV cyber 4.2MP 2.1 i386
DATE: 0206, LOG NUMBER: 002, AUDIT VERSION: 4.0
MACHINE ID: UNIX_SV cyber 4.2MP 2.1 i386
12:00:00:06:02:98,ng_permit,P-1,s,nobody:nobody,nobody:nobody,S-1,,src addr=210.122.78.136,src intf=dec0,dst
addr=210.116.8.21,dstintf=dec1,tcp,src port=1571,dst port=80,tcp_flags=0x2,permit,receive
12:00:00:06:02:98,ng_permit,P-1,s,nobody:nobody,nobody:nobody,S-1,,src addr=210.122.76.28,src intf=dec0,dst
addr=210.115.128.1,dstintf=dec1,tcp,src port=1249,dst port=80,tcp_flags=0x2,permit,receive
12:00:03:06:02:98,ng_permit,P-1,s,nobody:nobody,nobody:nobody,S-1,,src addr=210.122.76.135,src intf=dec0,dst
addr=203.252.3.14,dstintf=dec1,tcp,src port=1215,dst port=80,tcp_flags=0x2,permit,receive
12:00:04:06:02:98,ng_permit,P-1,s,nobody:nobody,nobody:nobody,S-1,,src addr=210.122.76.135,src intf=dec0,dst
addr=203.252.3.14,dstintf=dec1,tcp,src port=1216,dst port=80,tcp_flags=0x2,permit,receive
12:00:05:06:02:98,ng_permit,P-1,s,nobody:nobody,nobody:nobody,S-1,,src addr=210.122.78.136,src intf=dec0,dst
addr=203.248.208.2,dstintf=dec1,tcp,src port=1573,dst port=80,tcp_flags=0x2,permit,receive
12:00:05:06:02:98,ng_permit,P-1,s,nobody:nobody,nobody:nobody,S-1,,src addr=210.122.76.135,src intf=dec0,dst
addr=203.252.3.14,dstintf=dec1,tcp,src port=1217,dst port=80,tcp_flags=0x2,permit,receive
......
맨 윗줄은 실제 로그 검색을 위해 커맨드라인에서 실행된 명령을 보여주고 있다. 따라서 여기에 나타난 명령을 Shell Window에서 실행해도 같은 출력을 얻을 수 있다.
3번째줄부터 DATE와 MACHINE ID 쌍은 참조된 실제 로그파일과 로그의 대상 기계에 관한 정보를 가지고 있다. 실제 로그 보고서 파일은 11번째 줄부터 그 내용이 들어있고, 각 필드는 콤마(,)를 구분자로 정렬되어 있다.
첫번째 필드는 해당 이벤트가 발생한 시간을 나타내며 포멧은 '시:분:초:일:월:년' 이다. 두번째 필드는 해당 이벤트에 대한 내부 이벤트 명이고, 다섯번째와 여섯번째는 해당 이벤트의 실행자와 소유자를 UID를 근거로 나타낸 것이다.9번째 필드는 출발지 주소, 11번째 필드는 도착지 주소, 13번째 필드는 프로토콜 타입(tcp/udp/icmp 등), 14번째 필드는 출발지 포트번호, 15번째 필드는 도착지 포트번호, 17번째는 해당 이벤트에 대한 CyberGuard Firewall에서의 접근허가 종류, 18번째는 ACK신호를 허용하는지에 대한 항목을 나타내고 있다.
현재 CyberGuard Firewall에서는 로그 분석을 위한 별도의 패키지는 없으며, 양식화 되어 있는 로그 파일을 MS-Excel 과 같은 스프레트쉬트 프로그램 등으로 구분자를 콤마(,), 등호(=) 등으로 지정하여 정렬하고, 통계치 등을 분석할 수 있다.
출발지/도착지 주소를 resolved domain name으로 표시하려면, CyberGuard Firewall에 DNS 지정을 해야하는데, 보안 상의 이유로 기본설정은 DNS가 지원되지 않는다. 만일 DNS 지정을 원하는 경우는 운영자 메뉴얼의 Split DNS 설정을 참조한다.
|
조회 : 7,349
