Firewall log quá nhiều: nên ưu tiên theo dõi những sự kiện nào?

Firewall log quá nhiều: nên ưu tiên theo dõi những sự kiện nào? là tình huống khá thường gặp trong firewall và an toàn thông tin doanh nghiệp. Cách xử lý hiệu quả nhất là đi theo thứ tự từ nguyên nhân dễ kiểm tra, ít rủi ro đến các bước can thiệp sâu hơn.

Cách xử lý nhanh

Ưu tiên deny bất thường, authentication failure, VPN, threat/IPS/malware, policy change, admin login và traffic outbound lạ. Log hữu ích phải gắn với mục tiêu phát hiện, không phải lưu mọi thứ vô hạn.

Dấu hiệu và nguyên nhân thường gặp

Trước khi thay đổi cấu hình, hãy xác nhận phạm vi ảnh hưởng: chỉ một người dùng, một thiết bị hay nhiều thiết bị cùng gặp lỗi. Phạm vi ảnh hưởng là dữ kiện quan trọng để biết nên bắt đầu ở endpoint hay hạ tầng dùng chung.

• logging quá rộng gây nhiễu
• không đồng bộ thời gian khiến khó điều tra
• không có baseline nên không biết traffic nào bất thường

Quy trình kiểm tra từng bước

Bước 1: Đồng bộ NTP cho firewall và hệ thống liên quan

Trong thực tế hỗ trợ doanh nghiệp, đồng bộ NTP cho firewall và hệ thống liên quan. Nên ghi lại kết quả trước và sau khi thay đổi để có cơ sở so sánh; nếu nhiều người cùng xử lý, thông tin này cũng giúp tránh lặp lại các bước đã thử.

Bước 2: Tạo dashboard/report cho security event và admin change

Ở bước này, tạo dashboard/report cho security event và admin change. Nên ghi lại kết quả trước và sau khi thay đổi để có cơ sở so sánh; nếu nhiều người cùng xử lý, thông tin này cũng giúp tránh lặp lại các bước đã thử.

Bước 3: Lập baseline nguồn/đích/port thông thường

Về mặt kỹ thuật, lập baseline nguồn/đích/port thông thường. Nên ghi lại kết quả trước và sau khi thay đổi để có cơ sở so sánh; nếu nhiều người cùng xử lý, thông tin này cũng giúp tránh lặp lại các bước đã thử.

Bước 4: Đặt cảnh báo cho sự kiện có tác động cao thay vì mọi deny

Khi kiểm tra tại hiện trường, đặt cảnh báo cho sự kiện có tác động cao thay vì mọi deny. Nên ghi lại kết quả trước và sau khi thay đổi để có cơ sở so sánh; nếu nhiều người cùng xử lý, thông tin này cũng giúp tránh lặp lại các bước đã thử.

Cách xác nhận đã xử lý đúng

Không nên kết luận chỉ vì lỗi tạm thời biến mất. Với hệ thống doanh nghiệp, cần có tiêu chí xác nhận để tránh lỗi quay lại sau vài giờ hoặc sau khi người dùng đổi mạng/khởi động lại thiết bị.

• có thể truy ngược một incident theo thời gian/IP/user
• cảnh báo quan trọng không bị chìm trong noise

Những việc không nên làm

• tắt log deny hoàn toàn để tiết kiệm dung lượng
• coi mọi port scan Internet là sự cố nghiêm trọng như nhau

Khi nào nên chuyển cho IT chuyên trách?

Nếu lỗi ảnh hưởng nhiều người, liên quan quyền quản trị, dữ liệu, bảo mật, firewall, server hoặc cần thay đổi cấu hình production, nên dừng thử nghiệm ngẫu nhiên và chuyển cho người phụ trách IT. Với firewall và an toàn thông tin doanh nghiệp, việc có log, ảnh chụp lỗi, thời điểm xảy ra và các bước đã thử sẽ rút ngắn đáng kể thời gian xử lý.

Gợi ý vận hành lâu dài

Sau khi xử lý xong, nên ghi lại nguyên nhân gốc, cấu hình đã thay đổi và biện pháp phòng ngừa. Những sự cố lặp lại nhiều lần thường là tín hiệu cần chuẩn hóa tài liệu, monitoring, patching hoặc thiết kế hệ thống thay vì tiếp tục xử lý từng lần riêng lẻ.

Xem thêm các bài trong Bảo mật & Firewall.

Bài viết liên quan

• Geo Blocking trên firewall có nên chặn toàn bộ quốc gia không?
• Tài khoản quản trị firewall có bắt buộc MFA không?