Benefits of centralized log file correlation
Robert Rinnan · NORA - Norwegian Open Research Archives · 2005
NORSK: Nettverks administratorer kan korrelere oppføringer i loggfiler manuelt, problemet med slike tilnærminger er manglende grad av fleksibilitet, det er tidkrevende, og man får ikke overblikket over loggfilene i nettverket. Uten dette overblikket er det vanskelig å korrelere informasjon mellom nettverkskomponenter, og hendelser som tilsynelatende er uvesentlige for seg selv, kan i virkeligheten være en bit i et større trusselbilde. Denne oppgaven ser på noen av de produktene som eksisterer i dag, og forsøker å samsvare erfaringer og design prinsipper fra informasjon og whitepapers som finnes på deres hjemmesider, med forskning på området. Mange påstander finnes i litteraturen, men det har ikke vært mulig å finne forskning som forsøker å måle de påståtte gevinstene med slike tilnærminger. Som vi skal se består ett slikt system av flere deler, og i denne oppgaven er det utviklet den enkleste form for prototyp som sentraliserer loggfiler fra ett lite nettverk, og tilbyr muligheten til å browse og søke i disse loggfilene. Hensikten med prototypen er å påvise at det med minimal innsats er mulig å redusere tidsforbruket ved loggfilkorrelasjon med et slikt system, i den forbindelse er det utviklet metrikker for å måle forskjellen i tidsforbruk i et nettverk med prototypen og et nettverk uten prototypen.