Программное обеспечение: Анализ лог файлов прокси серверов

Анализ логов может дать руководителям, начальникам ИТ отделов полную картину того, как сотрудники используют Интернет, что в свою очередь может помочь в организации повышения производительности труда, выявить сотрудников, использующих Интернет не в служебных целях, а для развлечений, а значит, сэкономить деньги компании. Кроме того, анализ логов может сэкономить время администратора, потраченное на обнаружения неисправностей или брешей в системе и помочь устранить их.

TECKLORD

Анализ лог файлов

Введение

Эта статья описывает утилиты компании ADVSoft для работы с лог файлами таких распространенных продуктов, как прокси сервера Microsoft ISA Server 2000, Qbik Wingate (2.x и выше), Ositis Winproxy (3.x и выше), Kerio Winroute (3.x и выше) и почтовый сервер Alt-N MDeamon. Эти утилиты предназначаются для быстрого составления отчетов по сетевой активности пользователей, с использованием информации, собранной вышеперечисленными продуктами.

Анализ логов может дать руководителям, начальникам ИТ отделов полную картину того, как сотрудники используют Интернет, что в свою очередь может помочь в организации повышения производительности труда, выявить сотрудников, использующих Интернет не в служебных целях, а для развлечений, а значит, сэкономить деньги компании. Кроме того, анализ логов с помощью продуктов от ADVSoft может сэкономить время администратора, потраченное на обнаружения неисправностей или брешей в системе и помочь устранить их.

Анализ логов прокси серверов

Компания ADVSoft предоставляет 3 версии утилиты ProxyInspector: ProxyInspector Light (эта утилита будет доступна лишь в конце этого года, и в данный момент не распространяется), ProxyInspector и ProxyInspector Enterprise (Пока существует версия лишь для Microsoft ISA Server). Утилита ProxyInspector Light работает лишь с локальной базой данных, совместима с такими программами как Qbik WinGate, Ositis WinProxy и Krio WinRoute. Лицензия распространяется на 12 пользователей Интернет для одного сервера. Эта утилита будет оптимальным вариантом для маленьких компаний. Эта утилита является наиболее урезанной версией из всех, предлагаемых ADVSoft. ProxyInspector – это более сложная утилита с поддержкой командной строки, работающая как с локальной БД, так и с БД на сервере Interbase 6.x/Firebird. Она совместима со всеми вышеперечисленными программными продуктами, и, кроме того, поддерживает Microsoft ISA Server. Количество пользователей для одного прокси сервера – от 25 до 250 человек. Утилита ProxyInspector Enterprise предназначена прежде всего для работы в большой доменной сети, так как обладает такими специальными возможностями, как синхронизация с Active Directory, поддержка базы данных на SQL сервере от Microsoft и Interbase 6.x/Firebird, работа с логами одновременно нескольких серверов. Количество пользователей на один прокси сервер от 100 человек. Эта утилита просто удобна в обращении и может помочь найти нужную информацию в считанные секунды.

1. ProxyInspector for Microsoft ISA Server (Enterprise)

ProxyInspector for ISA Server может быть установлен на любой машине, имеющей доступ к логам ISA сервера. После установки ProxyInspector for ISA Server следует сделать некоторые изменения в настройках ISA сервера. Все логи должны вестись ISA сервером в формате W3C. Для корректной работы утилиты логи для сервиса Web прокси должны содержать следующие записи:

• Client IP
• Client user name
• Client agent
• Date
• Time
• Bytes sent
• Bytes received
• Protocol name
• Object name

Для сервиса фаирвол:

• Client IP
• Client user name
• Client agent
• Date
• Time
• Destination IP
• Bytes sent
• Bytes received
• Protocol name

Для пакетного фильтра:

• Date
• Time
• Source IP
• Destination IP
• Rule
• Source port
• Destination port

Настройка

Как и обещал производитель, эта программа имеет интуитивно-понятный интерфейс, и все требуемые настройки можно совершить без чтения документации и глубокого анализа написанного в «хелпе» текста.
Окно настроек программы состоит из 5 меню и подменю, расположенных в правом фрейме (Рис. 1). Как уже говорилось, ProxyInspector for ISA Server может работать с удаленной базой (хранить данные используя SQL сервер). Указать путь к базе в таком случае следует в меню База данных. В меню Отчеты предоставляется возможность выбора формата отчета для сохранения (ProxyInspector for ISA Server может сохранять отчеты в виде простой html странички, html странички с CSS и в виде электронных таблиц Excel), формата информации о трафике (почему-то в двух вариантах подсчета байтов в килобайте), редактирования оформления диаграмм, выбора времени и даты для генерации встроенных отчетов, подстановки пользователей, группировки сайтов и выбора вида сохранения данных в формате MS Excel.

Рис. 1

Меню Электронная почта позволяет задать опции для отсылки отчета по почте (к сожалению можно создать лишь одну запись). Меню Microsoft ISA Server 2000 содержит важные настройки для создания требуемых отчетов. Тут же указывается путь к базе логов ISA сервера.

2. ProxyInspector for WinRoute

3. ProxyInspector for Ositis WinProxy.

4. ProxyInspector for WinGate

Использование

Команда piconsole.exe -atgen создаст .bat-файл (для Планировщика задач). Пример этого файла:
--------------- schedule.bat-------------
at 08:00 /every:M,T,W,Th,F,S,Su "C:\Program Files\ProxyInspector for ISA Server\PIConsole.exe" -import
at 10:00 /every:M,T,W,Th,F,S,Su "C:\Program Files\ProxyInspector for ISA Server\PIConsole.exe" -import
at 12:00 /every:M,T,W,Th,F,S,Su "C:\Program Files\ProxyInspector for ISA Server\PIConsole.exe" -import
at 14:00 /every:M,T,W,Th,F,S,Su "C:\Program Files\ProxyInspector for ISA Server\PIConsole.exe" -import
at 16:00 /every:M,T,W,Th,F,S,Su "C:\Program Files\ProxyInspector for ISA Server\PIConsole.exe" -import
at 18:00 /every:M,T,W,Th,F,S,Su "C:\Program Files\ProxyInspector for ISA Server\PIConsole.exe" -import
at 20:00 /every:M,T,W,Th,F,S,Su "C:\Program Files\ProxyInspector for ISA Server\PIConsole.exe" -import
at 22:00 /every:M,T,W,Th,F,S,Su "C:\Program Files\ProxyInspector for ISA Server\PIConsole.exe" -import
at 00:00 /every:M,T,W,Th,F,S,Su "C:\Program Files\ProxyInspector for ISA Server\PIConsole.exe" -import
--------------- schedule.bat-------------
Использование команд:

После импортирования логов можно приступать к генерации отчетов. Для начала создадим самый простой отчет по прокси серверу. Для этого в навигационной панели двойной щелчок по меню Прокси сервер. В появившемся окне (Рис. 2), укажем требуемые опции для формирования отчета. В данном случае, мы оставили настройки по умолчанию.

Рис. 2

Далее, указав период для формирования отчета, мы получили описание в деталях и диаграммах по использованию всего трафика. ProxyInspector for ISA Server создал общий отчет об использовании трафика пользователями, распределении его по IP адресам, сайтам, по часам, дням недели, протоколам и программам. Фрагмент отчета вместе с диаграммой (Табл.1):

ProxyInspector for ISA Server способен создать отчеты по активности отдельного пользователя, группы пользователей, времени, дню недели, IP-адресе и т.д. Для просмотра списка пользователей, раскройте меню «Пользователи» в правом фрейме главного окна (Рис. 3).
При выборе одного или нескольких пользователей, будет составлен полный отчет по их сетевой активности: данные об IP-адрес, адресах посещенных сайтов и распределение трафика по ним, распределение трафика по часам, дням недели, протоколам, программам и диаграммы, иллюстрирующие вышесказанное. Эта возможность может очень пригодится системным администраторам и специалистам по безопасности для получения подробной информации о деятельности того или иного сотрудника фирмы, используемых им программам.
Для удобства чтения логов, или создания отчета сетевой активности группы пользователей (например, сотрудников одного отдела (если требуется отчет по целому отделу)), некоторых пользователей можно объединить в группы (пункт меню База->Группы пользователей).

ProxyInspector for ISA Server позволяет хранить некоторую информацию о пользователях (Ник, настоящее имя, дополнительная информация, e-mail), предварительно синхронизировав ее с Active Directory. Эта возможность позволяет быстро получить необходимую информацию о человеке путем наведения курсора мышки на его имя в меню «Пользователи» в правом фрейме главного окна программы. Для создания такой базы, вы можете воспользоваться окном Редактор свойств пользователей (База->Редактор свойств пользователей).
Для создания отчета по протоколам, можно воспользоваться окном Редактор протокола, из меню База, чтобы добавить, или удалить из общего списка протоколов необходимые данные. Менеджер отчетов дает возможность создавать шаблоны отчетов для будущего использования.

Сложно возразить, что создание отчетов сетевой активности является одним из важнейших элементов защиты сети, так как дает исчерпывающую информацию о пользователях, их деятельности, используемых ими приложениях и т.д.

Давайте перейдем к практическому использованию и попробуем решить некоторые проблемы безопасности. Предположим, в нашем распоряжении небольшая корпоративная сеть (до 150 рабочих станций под управлением Windows 2000, XP; AD). Пользователи поделены на группы по отделам, каждая группа работает с определенным программным обеспечением и выполняет различные задачи. Скажем отдел работы с общественностью использует в основном почту (the Bat и Outlook Express), а отдел рекламы – ICQ и Web браузер. Вы заметили общее повышение исходящего трафика по сравнению с прошлой неделей. Простой отчет по группам пользователей с выбором лишь одного параметра для создания отчета (Распределение трафика по протоколам (исходящий трафик) поможет вам определить отдел, из которого пересылаются данные. Далее создадим отчет по используемым протоколам этого отдела:

Явное преимущество использования SMTP протокола может говорить лишь о том, что ведется активная рассылка какой-то информации, будь то спам, или ценные данные. Сформировав отчет по протоколу SMTP, мы без труда определим IP-адрес, с которого ведется рассылка, и имя пользователя. Нам остается лишь настроить SMTP фильтр для ISA сервера и в свободную минутку решить возникшую проблему.
Иначе, эту проблему можно решить, воспользовавшись логами Web-прокси, в которых указывается название активного в сети приложения. Для этого создадим отчет по приложениям и использованному ими протоколу. В списке доступных приложений выберем неизвестные нам и группу приложений “Not specified”. Таким образом, посмотрев статистику по использованных протоколах, мы сможем определить приложение, рассылающее информацию по протоколу SMTP. Заметим, что такой способ обнаружения приложения зависит от правильности настроек ISA сервера.

Анализ логов почтовых серверов.
Излишне говорить, что анализ логов почтовых серверов играет немаловажную роль в обеспечении безопасности предприятия. Компания ADVSoft предоставила утилиту для создания отчетов по лог файлам для почтового Alt-N MDeamon. Поскольку доступна только демо-версия утилиты MailDetective for Alt-N MDeamon, то именно ее мы попытаемся описать в нашей статье.

MailDetective for Alt-N MDeamon

Заключение