নেটওয়ার্ক সিকিউরিটি লগ অ্যানালাইসিস: কেন, কী এবং কীভাবে?
সিকিউরিটি লগ অ্যানালাইসিস হলো নেটওয়ার্ক ডিভাইস, সার্ভার, অ্যাপ্লিকেশন ও সিকিউরিটি টুলগুলো থেকে জেনারেট হওয়া লগ ডেটা সংগ্রহ, নরমালাইজ, কোরিলেট ও বিশ্লেষণ করে হুমকি ডিটেক্ট, কমপ্লায়েন্স নিশ্চিত ও ফরেনসিক সাপোর্ট প্রদান করার প্রক্রিয়া।
লগ অ্যানালাইসিস কেন গুরুত্বপূর্ণ?
- Threat Detection: ব্রুট-ফোর্স, পোর্ট স্ক্যান, ডেটা এক্সফিল্ট্রেশন, C2 বিকনিং, লেটারাল মুভমেন্ট।
- Compliance & Audit: PCI-DSS Req 10, HIPAA, GDPR, ISO 27001 — লগ রিটেনশন ও মনিটরিং বাধ্যতামূলক।
- Forensic Investigation: ইনসিডেন্টের রুট কজ, টাইমলাইন রিকনস্ট্রাকশন, অ্যাট্রিবিউশন।
- Operational Visibility: পারফরম্যান্স ইস্যু, মিসকনফিগারেশন, ক্যাপাসিটি প্ল্যানিং।
নেটওয়ার্ক সিকিউরিটি লগের প্রকার
| লগ টাইপ | সোর্স | কি ইনফরমেশন |
|---|
| Firewall/IDS/IPS | Palo Alto, FortiGate, Cisco ASA, Suricata | Allow/Deny 룰 হিট, অ্যাটাক সিগনেচার, ترافিক ফ্লো |
| VPN/Remote Access | Cisco AnyConnect, Pulse, Zscaler | লগইন/লগআউট, সেশন ডুরেশন, ফেইলড অটেম্পট |
| Proxy/Web Gateway | Blue Coat, Zscaler, Squid | URL ক্যাটাগরি, ফাইল ডাউনলোড, یوزার অ্যাক্টিভিটি |
| DNS/DHCP | Infoblox, Microsoft DNS, Pi-hole | ডোমেন কোয়েরি, C2 ডোমেন, DGAs, IP অ্যালোকেশন |
| Authentication (AAA) | RADIUS, TACACS+, AD, Azure AD | লগইন সাকসেস/ফেইল, MFA চ্যালেঞ্জ, প্রিভিলেজ চেঞ্জ |
| Endpoint/EDR | CrowdStrike, Defender, SentinelOne | প্রসেস এক্সিকিউশন, ফাইল মডিফিকেশন, নেটওয়ার্ক কানেকশন |
| Cloud/Infrastructure | AWS CloudTrail, Azure Activity Log, GCP Audit Log | API কল, রিসোর্স চেঞ্জ, IAM পলিসি আপডেট |
লগ অ্যানালাইসিস প্রসেস (৭ ধাপ)
- Collection: Syslog (UDP 514/TCP 6514), SNMP, API, Agent (Fluentd, Filebeat, Winlogbeat, Elastic Agent)।
- Normalization/Parsing: CEF, LEEF, JSON, Key-Value → Common Schema (ECS, CIM, OCSF)।
- Enrichment: GeoIP, Threat Intel (IOC), Asset Context (CMDB), User Context (HR/AD)।
- Indexing & Storage: Hot/Warm/Cold/Archive টিয়ার (Elasticsearch, Splunk Indexer, S3/Lakehouse)।
- Correlation & Detection: Rule-based (Sigma, Splunk SPL, KQL), ML-based (UEBA, Anomaly Detection), Threat Intel Matching।
- Alerting & Triage: Severity, Context, Runbook, Auto-enrichment, Ticketing (ServiceNow, Jira)।
- Investigation & Response: Timeline, Pivot, Containment, Eradication, Recovery, Lessons Learned।
সাধারণ লগ অ্যানালাইসিস টুল (২০২৪)
| ক্যাটাগরি | টুল | বিশেষতা |
|---|
| SIEM (Enterprise) | Splunk, IBM QRadar, Microsoft Sentinel, Elastic Security, LogRhythm | রিয়েল-টাইম কোরিলেশন, কমপ্লায়েন্স, স্কেলেবিলিটি |
| Cloud-Native SIEM | Google Chronicle, CrowdStrike Falcon LogScale, Panther, Sumo Logic | Serverless,_high volume,_low latency |
| Log Management | Datadog, New Relic, Grafana Loki, Graylog | Observability-focused,_cost-effective |
| Open Source | Elastic Stack (ELK), Wazuh, OpenSearch, Loki + Promtail | ফ্রি, কাস্টোমাইজেবল, কমিউনিটি সাপোর্ট |
| Specialized | Zeek (Network), Velociraptor (Endpoint), Arkime (PCAP) | ডিপ প্যাকেট/প্রোটোকল অ্যানালাইসিস |
লগ অ্যানালাইসিস কোয়েরি উদাহরণ (Splunk SPL / KQL)
# Failed SSH logins (Brute Force)
index=firewall sourcetype=pan:threat action=deny dest_port=22
| stats count by src_ip, dest_ip
| where count > 10
# Data Exfiltration (Large Upload)
index=proxy bytes_out > 10000000
| stats sum(bytes_out) as total_mb by user, dest_domain
| where total_mb > 100
# C2 Beaconing (Regular Intervals)
index=firewall action=allow
| stats sparkline(count, 1h) as trend, count by src_ip, dest_ip, dest_port
| where count > 50 AND mvfind(trend, "regular")
বেস্ট প্র্যাকটিস
- Centralized Logging: সব লগ একদম সেন্ট্রাল লোকেশনে (No Silos)।
- Standardized Format: JSON/CEF, সিন্ক্রোনাইজড টাইম (NTP), স্ট্রাকচারড ফিল্ড।
- Retention Policy: Hot 30 dagen, Warm 90 dagen, Cold 1-7 years (Compliance-driven)।
- Alert Tuning: False Positive কমাতে রুল টিউনিং, বেইজলাইনিং, সাপ্রেশন লিস্ট।
- Automated Enrichment: Threat Intel, Asset Criticality, User Risk Score।
- Purple Team Exercises: Red Team আটাক সিমুলেট → Blue Team ডিটেকশন ভ্যালিডেশন।
- Skill Development: SOC অ্যানালিস্টদের কোয়েরি ল্যাঙ্গুয়েজ (SPL, KQL, Lucene), MITRE ATT&CK নলেজ।
