Log Inspection
Cloud One Workload Security Technical Essentials－第 11 課：檢查受保護伺服器上的記錄檔
Log Inspection
概觀
Log Inspection 模組會從作業系統及第三方應用程式的記錄檔中找出重要事件。這些事件可能散落在大量記錄項目中，不易透過人工檢查發現。Log Inspection 可協助偵測可疑行為、建立管理活動的稽核軌跡，並為 PCI DSS 或組織內部規範提供稽核證據。
OSSEC Log Inspection 引擎整合於 Agent，由 Agent 即時監控並分析記錄檔。Log Inspection decoder（解碼器）會將原始記錄項目剖析成可供比對的欄位，再由 Log Inspection 規則評估 decoder 的輸出，進行比對、分級及關聯分析。
Log Inspection 規則會指定要分析的應用程式及記錄檔。趨勢科技提供的規則會隨安全更新發佈，不能直接編輯；需要調整時，可以複製既有規則後建立自訂版本。
事件交付與保存
Log Inspection 的「即時分析」是指 Agent 端會即時分析新增的記錄項目，不代表事件會立即顯示於 Workload Security。多數事件會在下一次 heartbeat 通訊時交付給 Workload Security；Log Inspection Offline 或 Log Inspection Back Online 等特定狀態事件，只有在通訊設定允許 Agent 或 Relay 主動通訊時才可立即送出。
符合規則的事件會顯示於 Workload Security 主控台的報告、圖表及事件頁面中，也可以轉送至資安資訊與事件管理（SIEM）系統或集中式記錄伺服器，以進行關聯分析、報告及封存。事件是否保存在 Workload Security，以及是否轉送至外部系統，分別取決於保存與轉送所設定的嚴重性門檻。
Log Inspection 只會處理啟用後新寫入受監控記錄檔的項目，不會回溯處理啟用前已存在的記錄項目。
如需了解事件交付與保存方式，請參閱 Workload Security event logging 及 Log and event storage。
在策略中啟用 Log Inspection
Log Inspection 可以在策略階層的任何層級啟用。未覆寫相關設定的子策略會繼承上層策略的 Log Inspection 設定。Agent 下次與 Workload Security 進行 heartbeat 通訊時，會取得更新後的策略設定。
- 前往 Policies，然後雙擊要設定的策略。
- 前往 Log Inspection > General。
- 將 Log Inspection State 設為 On。
- 點選 Save。
示範：在策略中啟用 Log Inspection 並指派規則
以下影片示範如何在策略中啟用 Log Inspection、檢視建議規則，以及指派規則與其相依規則。