V1.7.2 Errors, Logging and Auditing Architecture

Requirement:

Verify that logs are securely transmitted to a preferably remote system for analysis, detection, alerting, and escalation. (C9)

Explanation:

Приложение должно регистрировать точное время возникновения (дата, час, секунды, миллисекунды и часовой пояс) для каждого исключительного события и события безопасности. Приложение не должно регистрировать конфиденциальную информацию при регистрации исключительных событий. Приложение не должно регистрировать ненужную информацию при регистрации исключительных событий. Приложение должно регистрировать уровень severity для каждого исключительного события и события безопасности. Организация должна хранить журналы, по крайней мере, с момента возникновения события в системе до времени, предусмотренного требованиями для конкретной системы. Управление журналом должно осуществляться операционной системой или внешней системой, отделенной от приложения.

Remediation:

Example

# Template for SIEM syslog message

$template RFC3164fmt,"<%PRI%>%TIMESTAMP% %HOSTNAME%-os %syslogtag%%msg%"

# Send local0.debug to SIEM

local0.debug @@<Siem_HOSTNAME>:514;RFC3164fmt

Детальное описание настроек изложено в статьях:

[SIEM] Auditd for Linux servers

For Debian / Ubuntu audit baseline

For RHEL / CentOS audit baseline

Additional:

https://www.ibm.com/docs/en/dsm?topic=overview-leef-event-components https://nxlog.co/documentation/nxlog-user-guide/syslog.html#syslog_ietf