Reflexiones sobre la falta de concienciación: los logs

De nuevo otro capitulo de la serie de post que voy a dedicar a la falta de concienciación en materia de seguridad. Una de las grandes bondades de la norma ISO/IEC 27001 es el cambio de filosofía que fuerza el ciclo de Demming respecto a la gestión de la seguridad tradicional. Esta norma hace pasar de la filosofía apagafuegos a una cultura de la prevención y detección temprana. Tanto es así que la propia norma, en las cláusulas relativas a la operación y supervisión del funcionamiento del SGSI obliga a establecer procesos de detección y de mitigación inmediata de incidentes.

Sin embargo me sorprendo muy a menudo al constatar la ausencia de aplicaciones de gestión de logs y monitorización que hagan más sencillo a los administradores las tareas de operación y mantenimiento TI.

Los logs son el rastro que dejan las operaciones cuando hay problemas, por tanto, es la información en tiempo real sobre posibles incidencias.
Tienen una doble misión: servir de evidencia e informar en tiempo real. Esta segunda función es quizás la más útil para un administrador de sistemas dado que puede influir positivamente en su propio beneficio. Por desgracia, este tipo de información los sistemas operativos y las aplicaciones la generan de una forma dificil de gestionar. Es por ello que existen aplicaciones específicas que permiten procesar grandes volumenes de datos y presentan una información mas concreta y sencilla de analizar de forma visual. La gran ventaja de este tipo de aplicaciones es que permiten procesar un gran volumen de información de un solo vistazo y además, de forma sencilla se pueden detectar situaciones anómalas. De esa manera, se identifica el lugar donde está el problema y de inmediato se reacciona. Como "una imagen vale más que mil palabras", adjunto unas capturas de dos de las aplicaciones más conocidas.
Nagios:

Mrtg:


De un simple vistazo se pueden detectar situaciones como que los discos estan llenos, que la carga del procesador supera las cotas tolerables, que la memoria está saturandose, etc. Además sorprende ver como los usos de los sistemas de información se rigen por ciertos patrones que se repiten y que de alguna forma, dibujan siempre una misma figura a lo largo del tiempo. Por tanto, la no repetición de este tipo de patrones o cualquier variación sobre ellos indica una situación anómala que debe ser investigada.

Entre las herramientas Opensource que destacan, estarían las siguientes:

• Nagios: Sistema de monitorización de equipos y servicios, diseñado para informarte de los problemas de sistemas y red. Diseñado para ejecutarse en Sistemas GNU/Linux. El demonio de monitorización realiza chequeos intermitentes en los equipos y en los servicios que especifiques usando "plugins" externos los cuales devuelven información a Nagios. El demonio puede enviar notificaciones de eventos sucedidos a los contactos de varias maneras (email, mensajería instantánea, SMS.). Permite la instalación de agentes en maquinas Windows con lo que da cobertura a casi todo tipo de sistemas.Toda la información de estado, histórico de logs e informes, pueden ser consultados vía web. Mas información aqui.



• MRTG: Herramienta para generar información visual sobre la monitorización de la carga del tráfico o el estado de la red. MRTG genera páginas HTML que contienen imagenes PNG que nos proporcionan una información visual viva de el tráfico de nuestros dispositivos.Más información aqui.



• Cacti: Es una solución para la representación gráfica de datos de monitorización de red, y está basada en RRDTool (Round Robin Database Tool), una solución de gestión de logs y representación gráfica muy extendida y popular por su calidad, trayectoria y por las enormes ventajas que tiene que sea código libre según GPL. Sergio Hernando en su blog hace una extensa descripción que puede consultarse aquí.



• mMonit: Herramienta más sencilla para la vigilancia preventiva. Es posible también configurar diferentes medios de notificación de las incidencias. Mas información aqui.



• Zabbit: Herramienta de las más completas que permiten una gestión completa de todo tipo de recursos y de la monitorización de casi todos los parámetros significativos respecto al diagnóstico de anomalías. Mas información aquí.

Es por ello que este tipo de aplicaciones aparecen siempre en las pantallas de los grandes centros de operación como podéis ver en este antiguo post. En España contamos con el Centro Nacional de Supervisión y Operaciones de Telefónica en Pozuelo por el que pasaba a diario cuando iba a la empresa donde trabajaba en Madrid y del que hay fotos aquí y aquí.
Para terminar, recomiendo leer este artículo publicado en la Linux-Magazine titulado "De un vistazo".