Nástroj pro forenzní analýzu serverových logů

Abstract

Tato práce se zabývá forenzní analýzou serverových logů, jak v nich obsažené údaje propojit a využít. Cílem je navrhnout modulární nástroj, který dokáže vytvořit přehled událostí v definovaném časovém intervalu. V přehledu jsou patrné korelace, jako podezřelé aktivity typu: neúspěšný pokus o přihlášení a následný opakovaný pokus o autentizaci ze stejné zdrojové adresy atd. Nástroj je možné využít ke zvýšení bezpečnosti a monitorování událostí na serveru. Aplikace je vybudována z části na existujícím řešení, které bylo nutné lehce vylepšit pro účel této práce. Druhou částí je grafická nadstavba, kterou jsem vytvořil ve frameworku Qt. Z pohledu programovacích jazyků se jedná o kombinaci C++ a Perlu. Výsledkem práce je funkční aplikace, která je připravena na možnost dalšího rozšíření. Pro správce serveru nebude problém dodefinovat si podezřelé aktivity, které by chtěl sledovat. Vytvořené řešení úspěšně shlukuje údaje ze serverových logů a provádí nad nimi forenzní analýzu.

This thesis deals with the forensic analysis of server logs, how to connect and utilize the data taken from these log files. The goal is to design a modular tool that has the ability to create an overview of events within a defined time interval. Correlations can be seen in the report. For example suspicious activities such as unsuccessful login attempt and following repeated attempts to authenticate from the same source address, etc. The tool can be used to increase security and monitor events on the server. The application is built in part on an existing solution that had been slightly improved for the purpose of this work. The second part is the graphic superstructure that I created in the Qt framework. It is a combination of C ++ and Perl from the perspective of programming languages. The result of the work is a functional application that is ready for further expansion. The server administrator will easy manage to specify suspicious activities he wants to track. The solution created successfully merges data from server logs and performs forensic analysis.