নেটওয়ার্ক সিকিউরিটির জন্য লগ (Logs): প্রকারভেদ, গুরুত্ব ও বিশ্লেষণ

নেটওয়ার্ক সিকিউরিটি লগ কী এবং কেন গুরুত্বপূর্ণ?

নেটওয়ার্ক সিকিউরিটি লগ হল নেটওয়ার্ক ডিভাইস, সার্ভার, অ্যাপ্লিকেশন, এবং সিকিউরিটি টুলস দ্বারা জেনারেট করা ইভেন্ট রেকর্ড যা কী ঘটেছে, কখন, কে, এবং কোথা থেকে—এই তথ্য ধারণ করে। এটি সিকিউরিটি অপারেশন্স (SecOps), কম্প্লায়েন্স, ফরেনসিক্স, এবং থ্রেট হান্টিং-এর রক্তনালা।

প্রধান লগ প্রকারভেদ (Log Categories)

১. পেরিমিটার ও নেটওয়ার্ক ডিভাইস লগ

• ফায়ারওয়াল (NGFW): ট্রাফিক Allow/Deny, App-ID, User-ID, Threat/URL/DNS লগ (Palo Alto, FortiGate, Check Point, Cisco FTD)
• রাউটার/সইচ: ACL হিট, রাউটিং চেঞ্জ, ইন্টারফেস ফ্ল্যাপ, NetFlow/IPFIX/sFlow
• VPN ゲートওয়ে: সংযোগ ইভেন্ট, অথেনটিকেশন সাফল্য/ব্যর্থতা, ডেটা ভলিউম
• DDoS মিটিগেশন: আক্রমণের ভলিউম, মিটিগেশন অ্যাকশন, ট্রাফিক প্রোফাইল
• WAF: HTTP রিকোয়েস্ট/রেসপন্স, OWASP রুল হিট, বট ডিটেকশন, রেট লিমিট

২. এন্ডপয়েন্ট ও সার্ভার লগ

• Windows Event Logs: Security (4624/4625 লগইন, 4688 প্রসেস ক্রিয়েশন, 4672 প্রিভিলেজ), System, Application, PowerShell Operational (4104), Sysmon (Event ID 1, 3, 7, 8, 10, 11, 12, 13, 22)
• Linux Auditd / Syslog: /var/log/auth.log, /var/log/secure, audit.log (ausearch/aureport), journalctl
• EDR/XDR Agent Logs: প্রসেস ট্রি, ফাইল অপারেশন, নেটওয়ার্ক কানেকশন, রেজিস্ট্রি চেঞ্জ (CrowdStrike, SentinelOne, Defender for Endpoint)

৩. অ্যাপ্লিকেশন ও ডাটাবেস লগ

• Web Server: Apache/Nginx Access & Error Log, IIS W3C Log (c-ip, cs-uri-stem, sc-status, time-taken)
• Application Logs: কাস্টম অ্যাপ্লিকেশন লগ (Log4j, Serilog, Winston) — Струкচার্ড JSON ফরম্যাট প্রিয়
• Database Audit: SELECT/INSERT/UPDATE/DELETE, Failed Login, Privilege Escalation (Unified Audit Trail, pgAudit, SQL Server Audit)
• API Gateway: Request/Response, Latency, Rate Limit, Auth Failures (Kong, Apigee, AWS API Gateway)

৪. আইডেন্টিটি ও অ্যাক্সেস লগ

• Active Directory / Azure AD / Entra ID: Sign-in Logs, Audit Logs, Risky Users, Conditional Access Evaluation
• IAM/IdP (Okta, Ping, Auth0): Authentication Events, MFA Challenges, Provisioning/Deprovisioning
• PAM (Privileged Access Management): Session Recording, Command Log, Check-in/Check-out (CyberArk, BeyondTrust, Thycotic)

৫. প্রোক্সি, DNS, ও ইমেইল লগ

• Web Proxy / SWG: URL Category, File Download, User Agent, DLP Incidents (Zscaler, Blue Coat, Forcepoint)
• DNS Logs: Query/Response, NXDOMAIN, DGA Detection, DNS Tunneling (Infoblox, Cisco Umbrella, Azure DNS Analytics)
• Email Gateway: Spam/Phishing/Malware Verdict, SPF/DKIM/DMARC Result, Attachment Sandbox Verdict

৬. ক্লাউড ও কন্টেইনার লগ

• Cloud Audit Logs: AWS CloudTrail, Azure Activity Log, GCP Audit Logs (Management, Data Access, Policy)
• K8s Audit Logs: API Server Request/Response, RBAC Changes, Admission Controller Decisions
• Container Runtime: Falco, Tetragon, Tracee (Syscall, File, Network Events)

লগ ফরম্যাট ও স্ট্যান্ডার্ড

• Syslog (RFC 5424/3164): Priority, Timestamp, Hostname, App-Name, ProcID, MsgID, Structured Data
• CEF (Common Event Format): ArcSight/Splunk-প্রিয়, Key=Value পেয়ার
• LEEF (Log Event Extended Format): QRadar-প্রিয়
• JSON / OCSF (Open Cybersecurity Schema Framework): আধুনিক স্ট্যান্ডার্ড, স্কিমা-অনুগত, পার্স করা সহজ

লগ সংগ্রহ ও সেন্ট্রালাইজেশন (Log Collection Pipeline)

[Log Sources] → [Forwarder/Agent: Syslog, Winlogbeat, Filebeat, Fluent Bit, OTel Collector]
                    ↓
           [Message Queue: Kafka, Redis, Azure Event Hub] (Buffer/Resilience)
                    ↓
           [Log Processor/Parser: Logstash, Vector, Cribl, Fluentd] (Parse, Enrich, Mask PII)
                    ↓
           [SIEM / Data Lake: Splunk, Elastic, Sentinel, Loki, ClickHouse, Snowflake]
                    ↓
           [Detection: Correlation Rules, ML/UEBA, Sigma Rules, MITRE ATT&CK Mapping]
                    ↓
           [Alerting & Response: SOAR, Ticketing (Jira/ServiceNow), Notification]

SIEM-এ কী লগ পাঠানো উচিত? (Priority Order)

1. Firewall Allow/Deny + Threat Logs
2. Windows Security + Sysmon (Event ID 1, 3, 7, 8, 10, 11, 12, 13, 22)
3. AD/Entra ID Sign-in & Audit Logs
4. VPN/RAS Logs
5. Proxy/SWG/DNS Logs
6. WAF/Email Gateway Logs
7. EDR/XDR Alerts
8. Cloud Audit Logs (CloudTrail, Azure Activity)
9. Application Logs (Critical Apps)
10. Vulnerability Scan Results

লগ রিটেনশন ও কম্প্লায়েন্স

সেরা অনুশীলন (Best Practices)

• Structured Logging: JSON/OCSF ফরম্যাট, কনসিস্টেন্ট ফিল্ড নেমিং (source, destination, user, action, result)
• Time Synchronization: সব সিস্টেম NTP সিঙ্ক (Stratum 1/2), UTC টাইমজোন
• Log Enrichment: GeoIP, Asset Inventory, Threat Intel, User Context (Department, Role) যোগ করুন
• PII Masking: পাইপলাইনে পাসওয়ার্ড, টোকেন, CRN, মেডিক্যাল রেকর্ড মাস্ক করুন
• Alert Tuning: False Positive কমাতে রুল টিউনিং, বেসলাইনিং, সাপ্রেশন লিস্ট
• Log Integrity: WORM Storage, Hash Chaining, Blockchain-based Auditing (Qumulo, Immutable S3)
• Cost Optimization: টিয়ারড স্টোরেজ (Hot/Warm/Cold), কমপ্রেশন, সেলেক্টিভ ইনজেশন