ЛОГ-ФАЙЛЫ

ОПРЕДЕЛЕНИЕ

       Лог (компьютерный лог, компьютерный журнал регистрации событий) – это организованная в виде файла, базы данных или массива в оперативной памяти совокупность записей о событиях, зафиксированных какой-либо программой, группой программ, информационной системой. Лог ведется автоматически, без участия человека. Как правило, соблюдается принцип: одно событие – одна запись. Как правило, каждая запись снабжается меткой времени. Обычно записи сохраняются по мере их генерирования, по возможности, независимо от генерирующей их программы, чтобы они оказались доступны для изучения даже в случае сбоя или аварийного завершения программы.
      Форма записей может быть произвольной, на усмотрение создателя программы или оператора, производившего ее настройку. Записи лога могут иметь более «гуманитарную» форму, то есть ориентироваться на восприятие человеком. Записи могут быть машинно-ориентированными, то есть предназначаться для легкого восприятия другой программой.
Чаще придерживаются промежуточной формы.
       Ведение логов может осуществляться самóй генерирующей программой, а может быть передано специализированной (логирующей) программе, такой как «syslogd». Ведение логов (логирование) включает: запись их в соответствующий файл или базу данных, снабжение меткой времени и идентификатором источника, агрегирование (объединение одинаковых или схожих записей), своевременное удаление старых записей и т.д.

ПРИМЕРЫ

       Ниже приведены образцы некоторых логов, чтобы те читатели, которые редко с ними сталкивались, чувствовали себя более уверенно при изучении дальнейшего материала.
       Фрагмент лога сервера электронной почты «sendmail» версии 8.13.3:

       Первые три поля каждой записи – это метка времени. Следующие два идентифицируют источник сообщений. Причем эти метки ставятся не генерирующей лог программой («sendmail»), а логирующей программой.
       Оставшаяся часть сообщений принадлежит уже генерирующей программе.
Можно заметить, что записи лога группируются попарно: каждая пара записей имеет одинаковый идентификатор (группа символов после двоеточия, например, «kBEDsTLt005196»). Пара записей соответствует двум этапам обработки сообщения электронной почты – прием и отправка.
       Далее приведен образец лога веб-сервера «Apache» версии 2.1.9 beta. Этот сервер ведет несколько видов логов. Ниже приводится фрагмент лог-файла «access.log» – в этом логе фиксируются обработанные запросы протокола HTTP:

 
       На данном веб-сайте включена авторизация. Как можно видеть, в 1-й и 10-й записях третье поле содержит «-», то есть логин и пароль пользователя не были переданы серверу. Соответственно, код ответа веб-сервера в этих случаях – 401 (см. предпоследнее поле). Последующие записи уже содержат имя пользователя (в третьем поле – «fnn» и «amak»). То есть, получив в первый раз ответ 401, браузер предлагает пользователю ввести логин и пароль и последующие запросы уже снабжает аутентификационной информацией, отчего они проходят успешно (код 200).
        В большинстве записей код ответа веб-сервера 200, что означает успешную обработку. Однако можно заметить коды 500 (внутренняя ошибка сервера) и 404 (страница не найдена).
       Последнее поле каждой записи указывает длину ответа веб-сервера в байтах. Как можно заметить, в случае ошибок (401, 404, 500) ответ короткий, а в случае успеха (200) более длинный, поскольку передается веб-страница.
       Чтобы верно интерпретировать этот лог, нужно знать значение каждого поля записи. Нетрудно догадаться, например, что первое поле – это IP-адрес клиента, четвертое поле – это время с указанием на часовой пояс. А вот о значении последнего поля догадаться нельзя; о том, что это длина ответа, необходимо знать из документации к веб-серверу.
       Лог межсетевого экрана «Netscreen», версия ОС 5.3.0:

 
       В этом логе форма представления данных более «человечная», присутствуют метки, позволяющие легко догадаться, к чему относятся приводимые числа. Такие аббревиатуры, как proto, src_port, dst_port, src-xlated, говорят специалисту все, что нужно.
Обратите внимание, что в каждой записи присутствуют две метки времени. Одна из них после идентификатора start_time ставится генерирующей лог программой (ОС межсетевого экрана), а другая – в начале строки логирующей программой (syslogd).

 

Купить на Oz.by С. Семкин Э. Беляков С. Гребенев В.Казачек Основы организационного обеспечения информационной безопасности объектов информатизации 

ОСМОТР КОМПЬЮТЕРА

ОСОБЕННОСТИ

     Когда следы совершенного преступления и возможные доказательства находятся в цифровой форме (в форме компьютерной информации), их получение, фиксация и документирование представляют определенную сложность.
      В отличие от многих иных видов доказательств, компьютерная информация не может восприниматься человеком непосредственно – глазами, ушами, пальцами. Воспринимать ее можно только через посредство технических аппаратных и программных средств. Причем количество и сложность этих технических посредников настолько велики, что связь между исходной информацией и тем, что мы видим не экране, не слишком прямая и далеко не всегда очевидная. А порой эта связь и вовсе условна и зыбка до невозможности.
     Следует признать, что осмотр компьютерной информации – это не вполне осмотр (от слова «смотреть»), а скорее инструментальная проверка, требующая определенных знаний об используемых технических средствах, принцип действия которых не всегда очевиден. Вероятность ошибиться и увидеть не то, что есть на самом деле, при этом повышенная, даже при отсутствии целенаправленного воздействия противника.
     Высказывалось мнение, что на основании вышеизложенного осмотр компьютерной информации вообще недопустим, а следует всегда проводить экспертизу.
     Практика же никак не позволяет принять это утверждение. Провести компьютерно-техническую экспертизу (КТЭ) не всегда возможно даже в тех случаях, когда она точно нужна. Замена экспертизы осмотром позволяет сэкономить очень много времени и сил. Порой перед следователем стоит выбор: или проводить вместо КТЭ осмотр компьютерной информации, или вовсе прекращать дело.
     Кроме того, есть и такое соображение. Для проведения КТЭ все равно необходимо изъять носитель информации или скопировать его содержимое. А эти действия по своей сложности и по применению специальных знаний не сильно отличаются от осмотра компьютерной информации на месте. Все равно нужен специалист. Все равно желательны квалифицированные понятые. Все равно действия эксперта сведутся к просмотру и распечатке нужных данных. Так не проще ли произвести эти же действия в порядке осмотра (ст. 176 177 УПК)?

СТАНДАРТЫ

     Правила сбора и фиксации цифровых доказательств (то есть компьютерной информации, используемой в качестве доказательства) не закреплены в законе. Нет и ведомственных нормативных актов, закрепляющих такие правила. А потом в суде возникает вопрос: были ли доказательства собраны надлежащим образом, который обеспечивал их достоверность и неизменность? Оценить правильность примененных процедур без специальных знаний невозможно. Когда же существуют официальные или, по крайней мере, общепризнанные правила обращения с цифровыми доказательствами, обосновать достоверность и неизменность значительно проще.
       В отношении других видов доказательств, которыми криминалисты занимаются давно, такие правила существуют.
   Закрепление стандартов обращения с цифровыми доказательствами в законодательстве невозможно в силу быстрой изменчивости компьютерных систем. Новые устройства, новые носители, новые протоколы, для которых потребны новые процедуры, появляются несколько раз в год. Ежегодно появляются принципиально новые устройства, которые требуют принципиально иного подхода при обнаружении и изъятии цифровых доказательств. Ведомственные методики можно менять достаточно часто. Однако их разработка в нашей стране затруднена отсутствием грамотных технических специалистов в этих ведомствах.
     Столкнувшись с необходимостью подобных стандартов, специалисты предложили зафиксировать их на уровне рекомендаций научных или общественных профессиональных организаций. Исполнение таких стандартов, безусловно, снимет ряд возможных вопросов со стороны суда и участников процесса.

 

Купить на Oz.by А. Петраков С. Клейменов В. Мельников Информационная безопасность