Brandloggsfil

[Magdalena]

VAR på en server hittar man brandloggsfilen?

 

[Sony]

Sv: Brandloggsfil

Vilken typ av logg vill du ha tag på?
På vilken typ av server?
Med vilken brandvägg installerad?


..... och jag vet egentligen inte vad du menar med "Brandloggsfil"??? Mig veterligt så finns det inget som heter så. För mig är din fundering allt för diffus.

En server brukar ha en del olika loggar som tillhör operativet. Om servern sen har en brandvägg installerad/aktiverd så har den säkert separata loggfiler över vad som händer med den. Men det beror på vilken brandvägg det är. Är den en "personlig" bara för den servern? Eller agerar servern i sig brandvägg för ett eller flera nät? Kanske för ett helt företag/organisation?

Beror också på om det är en något större och ev mer avancerad för då brukar man vilja lägga loggarna någon helt annanstans än där de finns som defult. I en "riktig" brandvägg kan du också välja om du vill logga allt eller inte. Detta styrs oftast i regelverket som du sätter upp. Normalt loggar man dock det mesta av värde. Jag vet inte hur den biten fungerar i mindre brandväggar.

 

[Magdalena]

Sv: Brandloggsfil

Hmm, misstänkte att det var lite knapphänt beskrivet.

Jag vet bara att nånstans i nätverket (ca 25 användare, 3 servrar kanske med olika uppgifter) så går det att ta fram exakt vem som surfat var och vid vilket klockslag.

Eller vet och vet, chansen/risken finns att den som sa det ljög så det stänker om det också när h*n sa att h*n blivit visad var den fanns...

 

[Sony]

Sv: Brandloggsfil

Det är säkert så. Dvs att det går att spåra och h*n har kanske sett vart eller hur det ser ut i en sådan logg.

Beroende på hur ert "nätverk" ser ut och vad ni har för möjligheter kan man ändå säga som så att med rätt kombination av "verktyg" så går det oftast att spåra till PC och/eller konto. 25 anv är rätt litet så möjligheterna borde vara ganska goda att ta reda på vem som gjort vad. Det första man kollar i är loggfilen över trafik från Brandväggen (dvs det som du anger skall loggas i regelverket) som i vanligtvis sitter mellan ert interna LAN och er Internet-leverantör. Men det är inte det enda. Man får ofta följa hela kedjan för att ha ett mer definitivt besked att komma med. Möjlighet att kolla vem som jobbat från vilken PC kan ju behövas t ex. Likaså spår på den PC som använts.

Vart loggfilen sen finns och hur du sen använder den är en annan femma. De flesta använder väl den i från brandväggen, men man kan läsa in den i ett 3:e partsprogram om man tycker det är bättre. Förutsätter dock att formatet kan läsas av det programmet. Som jag skrev så brukar man ofta lägga loggfilen på annan plats än där den lägger sig default. Allt beroende på hur man tänkt och planerat.


Det är viktigt att man sparar sina loggar eftersom sånt här inte så ofta kommer samma dag eller ens samma vecka. Ofta kan misstanke om brott (om det nu är sådant) dyka upp flera månader efter. Det är också viktigt att man har sina klockor i servrar osv satta till rätt tid. Detta för att kunna veta vart i loggarna man ska leta. I en större brandvägg så kan 5-10 minuter hit eller dit göra stor skillnad i sökarbetet. ... och även om just ni kanske inte har så stor brandvägg så kan ju t ex Telia, web-företag eller andra bli inblandade vid en utredning och då behövs exakta tider att gå på.

Det förutsätter också (för att man ska lyckas bra) att man har en rätt så styrd och kontrollerad miljö för sina PC och användare. Det förutsätter också att den aktuella användaren inte är allt för smart och har allt för höga behörigheter i nätet och på PC. En som är någorlunda smart kan sopa igen ganska så bra efter sig.

Så visst går det att spåra på olika sätt och vis - men det finns en hel del om och men på vägen.

 

[Magdalena]

Sv: Brandloggsfil

Det känns ungefär som *swish över mitt huvud* Men tack för en utmärkt förklaring!