LogAn журналирует все события, которые происходят во время его работы и работы подключенных к нему серверов, и записывает их в следующие журналы:

• Журнал событий — содержит события, связанные с изменением настроек сервера LogAn, авторизацией пользователей, администраторов, обновлениями различных списков и т.п.

• Журнал веб-доступа — подробный журнал всех веб-запросов, обработанных LogAn.

• Журнал DNS — содержит события, связанные с DNS трафиком. 

• Журнал трафика — подробный журнал срабатываний правил межсетевого экрана, NAT, DNAT, Port forwarding, Policy-based routing. Для регистрации данных событий необходимо включить журналирование в необходимых правилах межсетевого экрана, NAT, DNAT, Port forwarding, Policy-based routing.

• Журнал СОВ — содержит события, регистрируемые системой обнаружения и предотвращения вторжений.

• Журнал АСУ ТП — содержит события, регистрируемые правилами контроля АСУ ТП.

• Журнал инспектирования SSH — журнал срабатывания правил инспектирования SSH. Для регистрации данных событий необходимо включить журналирование.

• История поиска — содержит поисковые запросы пользователей в популярных поисковых системах.

• Журнал событий конечных устройств — отображает события, получаемые от контролируемых с помощью программного обеспечения UserGate Endpoint конечных устройств.

• Журнал правил конечных устройств — события срабатывания правил межсетевого экрана конечных устройств, в настройках которых включено журналирование.

• Приложения конечных устройств — отображает приложения, которые когда-либо запускались на конечных устройствах.

• Аппаратура конечных устройств — содержит информацию об устройствах, подключённых к конечным устройствам.

• Системный журнал (Syslog) — отображены записи сообщений о событиях удалённых Unix-систем, полученные по протоколу Syslog.

• Журнал защиты почтового трафика — содержит события срабатывания правил защиты почтового трафика, в настройках которых включено журналирование. 

• Журнал UserID — содержит описание событий отражающие результат работы UserID агента.

Управление журналами автоматизировано: журналы циклически перезаписываются, обеспечивая необходимое для работы свободное дисковое пространство.

Ротация записей журналов (всех, кроме журнала событий) происходит автоматически по критерию свободного пространства на данном разделе. Записи о ротации базы данных будут отображены в журнале событий LogAn.

Ротация записей журнала событий не производится.

Журнал событий отображает события, связанные с изменением настроек сервера LogAn, например, добавление/удаление/изменение данных учетной записи, правила или любого другого элемента. Здесь же отображаются все события входа в веб-консоль, авторизации пользователей через Captive-портал и другие.

Для удобства поиска необходимых событий записи могут быть отфильтрованы по различным критериям, например таким, как диапазон дат, компоненте, важности, типу события.

Администратор может выбрать только те столбцы для показа, которые ему необходимы. Для этого следует кликнуть указателем мыши на любой из столбцов, и в появившемся контекстном меню оставить галочки только для тех столбцов, которые необходимо отображать.

С помощью кнопки Экспортировать в CSV администратор может скачать отфильтрованные данные журнала в csv-файл для дальнейшего анализа.

Журнал веб-доступа отображает все запросы пользователей в Интернет по протоколам HTTP и HTTPS. Отображается следующая информация:

• Узел UserGate, на котором произошло событие.

• Время события.

• Пользователь.

• Действия.

• Правило.

• Причины (при блокировке сайта).

• URL назначения.

• Зона источника.

• IP-адрес источника.

• Порт источника.

• IP назначения.

• Порт назначения.

• Категории.

• Протокол (HTTP).

• Метод (HTTP).

• Код ответа (HTTP).

• MIME (если присутствует).

• Байт передано/получено.

• Пакетов отправлено.

• Реферер (при наличии).

• Операционная система.

• Useragent Браузера.

Администратор может выбрать только те столбцы для показа, которые ему необходимы. Для этого следует кликнуть указателем мыши на любой из столбцов, и в появившемся контекстном меню оставить галочки только для тех столбцов, которые необходимо отображать.

Для удобства поиска необходимых событий записи могут быть отфильтрованы по различным критериям, например таким, как учетная запись пользователя, правило, действие и т.д.

С помощью кнопки Экспортировать в CSV администратор может скачать отфильтрованные данные журнала в csv-файл для дальнейшего анализа.

Журнал DNS отображает события, связанные с DNS трафиком. Для логгирования событий DNS на NGFW должна быть включена DNS-фильтрация в настройках DNS-прокси и разрешено журналирование в правилах контентной фильтрации, в которые будет попадать DNS трафик.

Отображается следующая информация:

• Узел.

• Время.

• Пользователь.

• Правило.

• Причины.

• Имя домена.

• Зона источника.

• IP-адрес источника.

• Порт источника.

• MAC-адрес источника.

• Зона назначения.

• IP-адрес назначения.

• Порт назначения.

• Сетевой протокол.

• Категория URL.

• Информация.

Администратор может выбрать только те столбцы для показа, которые ему необходимы. Для этого следует кликнуть указателем мыши на любой из столбцов, и в появившемся контекстном меню оставить галочки только для тех столбцов, которые необходимо отображать.

Для удобства поиска необходимых событий записи могут быть отфильтрованы по различным критериям, например таким, как протокол, диапазон дат, действие и т.д.

С помощью кнопки Экспортировать в CSV администратор может скачать отфильтрованные данные журнала в csv-файл для дальнейшего анализа.

Нажатие на кнопку Показать выведет окно с подробным описанием события.

Журнал трафика отображает события срабатывания правил межсетевого экрана или правил NAT, в настройках которых включено журналирование. Отображается следующая информация:

• Узел UserGate, на котором произошло событие.

• Время события.

• Пользователь.

• Действие.

• Правило.

• Приложение.

• Протокол.

• Зона источника.

• Адрес источника.

• Порт источника.

• IP-назначения.

• Порт назначения.

• NAT IP-источника (если это правило NAT).

• NAT порт источника (если это правило NAT).

• NAT IP назначения (если это правило NAT).

• NAT порт назначения (если это правило NAT).

• Байт отправлено/получено.

• Пакетов.

Администратор может выбрать только те столбцы для показа, которые ему необходимы. Для этого следует кликнуть указателем мыши на любой из столбцов, и в появившемся контекстном меню оставить галочки только для тех столбцов, которые необходимо отображать.

Для удобства поиска необходимых событий записи могут быть отфильтрованы по различным критериям, например таким, как учетная запись пользователя, правило, действие и т.д.

С помощью кнопки Экспортировать в CSV администратор может скачать отфильтрованные данные журнала в csv-файл для дальнейшего анализа.

Журнал системы обнаружения вторжений отображает сработавшие сигнатуры СОВ, для которых установлено действие журналировать или блокировать. Отображается следующая информация:

• Файлы Pcap.

• Узел NGFW, на котором произошло событие.

• Время.

• Содержание события.

• Пользователь.

• Действие.

• Правило.

• Сигнатуры.

• Приложение.

• Сетевой протокол.

• Зона источника.

• IP-адрес источника.

• Порт источника.

• MAC источника.

• Зона назначения.

• IP-адрес назначения.

• Порт назначения.

• MAC назначения.

Администратор может выбрать только те столбцы для показа, которые ему необходимы. Для этого следует кликнуть указателем мыши на любой из столбцов, и в появившемся контекстном меню оставить галочки только для тех столбцов, которые необходимо отображать.

Для удобства поиска необходимых событий записи могут быть отфильтрованы по различным критериям, например таким, как протокол, диапазон дат, действие и т.д.

С помощью кнопки Экспортировать в CSV администратор может скачать отфильтрованные данные журнала в csv-файл для дальнейшего анализа.

Нажатие на кнопку Показать выведет окно с подробным описанием события.

Журнал АСУ ТП отображает срабатывания правил автоматизированной системы управления технологическим процессом, для которых включена функция журналирования. Отображается следующая информация:

• Узел NGFW, на котором произошло событие.

• Время.

• Действие.

• Правило.

• Зона источника.

• IP-адрес источника.

• IP-адрес назначения.

• Порт назначения.

• Протокол АСУ ТП.

• Команда АСУ ТП.

• Адрес регистра.

Администратор может выбрать только те столбцы для показа, которые ему необходимы. Для этого следует кликнуть указателем мыши на любой из столбцов, и в появившемся контекстном меню оставить галочки только для тех столбцов, которые необходимо отображать.

Для удобства поиска необходимых событий записи могут быть отфильтрованы по различным критериям, например таким, как протокол, диапазон дат, действие и т.д.

С помощью кнопки Экспортировать в CSV администратор может скачать отфильтрованные данные журнала в csv-файл для дальнейшего анализа.

Нажатие на кнопку Показать выведет окно с подробным описанием события.

Журнал инспектирования SSH отображает сработавшие правила инспектирования SSH. Отображается следующая информация:

• Узел UserGate, на котором произошло событие.

• Время.

• Пользователь.

• Действие.

• Правило.

• Команда.

• Зона источника.

• IP-адрес источника.

• Порт источника.

• MAC-адрес источника.

• Зона назначения.

• IP-адрес назначения.

• Порт назначения.

Администратор может выбрать только те столбцы для показа, которые ему необходимы. Для этого следует кликнуть указателем мыши на любой из столбцов и в появившемся контекстном меню оставить отмеченными только те столбцы, которые необходимо отображать.

Для удобства поиска необходимых событий записи могут быть отфильтрованы по различным критериям, например таким, как протокол, диапазон дат, действие и т.д.

С помощью кнопки Экспортировать в CSV администратор может скачать отфильтрованные данные журнала в csv-файл для дальнейшего анализа.

Нажатие на кнопку Показать выведет окно с подробным описанием события.

В разделе История поиска отображаются все поисковые запросы пользователей, для которых настроено журналирование в политиках веб-безопасности. Администратор может выбрать только те столбцы для показа, которые ему необходимы. Для этого следует кликнуть указателем мыши на любой из столбцов, и в появившемся контекстном меню оставить галочки только для тех столбцов, которые необходимо отображать.

Для удобства поиска необходимых событий записи могут быть отфильтрованы по различным критериям, например таким, как пользователи, диапазон дат, поисковые системы и т.д.

С помощью кнопки Экспортировать в CSV администратор может скачать отфильтрованные данные журнала в csv-файл для дальнейшего анализа.

Журналы конечных устройств отображают информацию, получаемую от контролируемых с помощью программного обеспечения UserGate Client конечных устройств.

В UserGate имеются следующие журналы:

• Журнал событий конечных устройств — отображает события, получаемые от конечных устройств.

• Журнал правил конечных устройств — события срабатывания правил межсетевого экрана конечных устройств, в настройках которых включено журналирование.

• Приложения конечных устройств — отображает приложения, которые когда-либо запускались на конечных устройствах.

• Аппаратура конечных устройств — содержит информацию об устройствах, подключённых к конечным устройствам.

Для удобства поиска необходимых событий записи могут быть отфильтрованы по различным критериям, например таким, как диапазон дат, важности, типу события и так далее.

Администратор может выбрать только те столбцы для показа, которые ему необходимы. Для этого следует кликнуть указателем мыши на любой из столбцов, и в появившемся контекстном меню оставить галочки только для тех столбцов, которые необходимо отображать.

С помощью кнопки Экспортировать в CSV администратор может скачать отфильтрованные данные журнала в csv-файл для дальнейшего анализа.

Журнал Syslog отображает события, собранные агентом UserID с серверов Syslog. В журнале отображаются события входа пользователей в систему и завершение их сеанса работы. Отображена следующая информация:

Журнал защиты почтового трафика отображает события срабатывания правил защиты почтового трафика, в настройках которых включено журналирование. Отображается следующая информация:

• Узел UserGate, на котором произошло событие.

• Время срабатывания.

• Пользователь.

• Отправитель.

• Получатель

• Правило.

• Зона источника.

• IP-адрес источника.

• Порт источника.

• Зона назначения.

• IP-адрес назначения.

• Порт назначения.

• Приложение.

• Протокол прикладного уровня.

• Байт отправлено/получено.

• Пакетов отправлено/получено.

Администратор может выбрать только те столбцы для показа, которые ему необходимы. Для этого следует кликнуть указателем мыши на любой из столбцов, и в появившемся контекстном меню оставить галочки только для тех столбцов, которые необходимо отображать.

Для удобства поиска необходимых событий записи могут быть отфильтрованы по различным критериям, например таким, как протокол, диапазон дат, действие и т.д.

С помощью кнопки Экспортировать в CSV администратор может скачать отфильтрованные данные журнала в csv-файл для дальнейшего анализа.

Нажатие на кнопку Показать выведет окно с подробным описанием события.

Журнал UserID содержит описание событий отражающие результат работы UserID агента. Отображена следующая информация:

Журнал Windows Active Directory отображает события, собранные агентом UserID с серверов AD. В журнале отображаются события  с успешным входом в систему (идентификатор события 4624), событий Kerberos (события с номерами: 4768, 4769, 4770) и события членства в группах (идентификатор события 4627). В журнале отображена следующая информация:

Функция экспортирования журналов LogAn позволяет выгружать информацию на внешние серверы для последующего анализа или для обработки в системах SIEM (Security Information and Event Management).

UserGate LogAn поддерживает выгрузку следующих журналов:

• Журнал DNS.

• Журнал событий.

• Журнал веб-доступа.

• Журнал СОВ.

• Журнал АСУ ТП.

• Журнал инспектирования SSH.

• Журнал трафика.

• Журнал событий конечных устройств.

• Журнал правил конечных устройств.

• Приложения конечных устройств.

• Аппаратура конечных устройств.

Поддерживается отправка журналов на серверы SSH (SFTP), FTP и Syslog. Отправка на серверы SSH и FTP проводится по указанному в конфигурации расписанию или разово (кнопка Послать разово). Отправка на серверы Syslog происходит сразу же при добавлении записи в журнал.

Для отправки журналов необходимо создать конфигурации экспорта журналов в разделе Экспорт журналов.

При создании конфигурации требуется указать следующие параметры:

Правила нормализации логов позволяют приводить к единому виду данные, полученные системой SIEM с различных источников (сенсоров).

Логи, поступающие с различных сенсоров на SIEM, могут обрабатываться с помощью регулярных выражений, указанных в правилах пользовательской нормализации. В результате данные, найденные в логах, будут записаны в стандартные поля базы данных SIEM.

Источники логов и их поля, которые можно дополнительно нормализовать:

Список полей базы данных SIEM, в которые можно сохранять найденные данные (т.е. использовать эти названия полей в регулярных выражениях в правилах нормализации):

Типы полей:

Список протоколов, допустимых для поля networkProtocol (буквы могут быть в любом регистре):

Для создания правила нормализации необходимо в разделе Журналы и отчеты -> Журналы -> Пользовательская нормализация логов нажать кнопку Добавить и в открывшемся окне заполнить следующие поля:

Пример создания правила, которое обрабатывает логи категории syslog, извлекает из них имя пользователя, ip, port и записывает их в соответствующие поля базы данных SIEM: