防止篡改服务的日志

Question

在具有REST的安全敏感服务中，生成抗篡改审计日志的最佳方法是什么？

对每个日志条目进行签名是可能的，但这并不能阻止恶意操作员隐藏一些日志。

Answer 1

1. 使用中央日志服务器()--在一个地方复制日志文件，或者使用Syslog将日志存储在数据库中，都可以像cronjob一样简单。(https://syslog-ng.org/ )
2. 或者您可以使用AIDE工具来确保日志的完整性。根据大小和临界程度，按频率旋转日志。

确保事件日志文件可验证性的技术和https://crypto.stackexchange.com/questions/8104/tamper-proofing-log-files也给出了一个很好的答案

Answer 2

登录到专用机器，该机器只执行此操作，并且有受限的访问权限。与承载复杂服务的计算机相比，特殊用途的计算机所需的管理要少得多，因此很少有人需要访问日志服务器。

如果你真的需要非常高的完整性保证，登录到纸带。这需要物理访问来执行任何篡改，而擦除纸张日志往往会留下证据(剪纸、灰烬、…)。。

Answer 3

您可能会考虑在像Intel SGX这样的安全飞地中运行日志服务。使用由硬件信任根签名的日志可以减少攻击者或内部人员篡改日志的风险。