V1.7.1 Errors, Logging and Auditing Architecture

Requirement:

Verify that a common logging format and approach is used across the system. (C9)

Explanation:

События не должны отображать конфиденциальную или подробную информацию о проблеме в сообщениях об ошибках, чтобы предотвратить использование этой информации злоумышленником.

Требования к общему формату:

• Приложение должно регистрировать точное время возникновения (дата, час, секунды, миллисекунды и часовой пояс) для каждого исключительного события и события безопасности.
• Приложение не должно регистрировать конфиденциальную информацию при регистрации исключительных событий.
• Приложение не должно регистрировать ненужную информацию при регистрации исключительных событий.
• Приложение должно регистрировать уровень severity для каждого исключительного события и события безопасности.
• Организация должна хранить журналы, по крайней мере, с момента возникновения события в системе до времени, предусмотренного требованиями для конкретной системы.
• Управление журналом должно осуществляться операционной системой или внешней системой, отделенной от приложения.

Remediation:

# Template for SIEM syslog message

$template RFC3164fmt,"<%PRI%>%TIMESTAMP% %HOSTNAME%-os %syslogtag%%msg%"

# Send local0.debug to SIEM

local0.debug @@<Siem_HOSTNAME>:514;RFC3164fmt

Additional:

https://www.ibm.com/docs/en/dsm?topic=overview-leef-event-components https://nxlog.co/documentation/nxlog-user-guide/syslog.html#syslog_ietf