Thử thách: điều tra một sự cố chỉ bằng log

Ba bài trước dạy ghi log gì, trả lỗi thế nào, và cảnh báo ra sao. Bài này kiểm thứ duy nhất chứng minh cả ba có tác dụng: bạn dùng được log đó để điều tra một sự cố thật hay không.

Và nó kiểm thêm một thứ khó hơn: nhận ra trường nào còn thiếu. Trong một cuộc điều tra thật, thứ bạn học được nhiều nhất không phải câu trả lời mà là danh sách câu hỏi bạn không trả lời được — vì đó chính là danh sách trường cần thêm vào log trước sự cố tiếp theo.

Tình huống — 08:10 sáng thứ Năm. Một khách hàng doanh nghiệp gửi ticket:

"Chúng tôi thấy trong lịch sử hoạt động rằng ba hợp đồng của công ty chúng tôi đã được xem bởi một tài khoản không thuộc công ty chúng tôi. Chuyện gì đang xảy ra?"

Bạn có: log ứng dụng 30 ngày, bảng security_event một năm, và một access log của load balancer.

Việc phải làm.

1. Dựng lại chuỗi: kẻ tấn công vào bằng cách nào, làm gì, và đọc được những gì?
2. Xác định phạm vi: chỉ ba hợp đồng đó, hay nhiều hơn?
3. Nói ra câu hỏi bạn không trả lời được từ log hiện có, và trường nào thiếu.
4. Có nghĩa vụ thông báo cho khách hàng khác không?

Câu 2 và câu 3 là hai câu tính điểm, và chúng liên quan với nhau: thường thì bạn không xác định được phạm vi chính vì một trường bị thiếu.