Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 8 replies
  • Subscribers 2 subscribers
  • Views 3906 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Detailed firewall logging

stretch21
I was just introduced to Astaro last week and I am just beginning to evaluate it today.

I value detailed logging.  I noticed that the packet filter rules offer "log reject" and "log drop" as the only options that explicitly indicate any logging.  Are all transactions logged?  Is it possible to see log entries that show accepted connections? Also, do the logs indicate the associated rule number?

Thanks!   


This thread was automatically locked due to age.
Parents
  • 0
    I'd second that request (I don't believe there's a way to do it, currently). It's a great troubleshooting tool to check rules and communication paths.
    ~micah  
  • 0 in reply to Micah Lloyd
    I'd love to see it too.  I think it would be very useful for troubleshooting, because you can actually see a connection get passed through the firewall.  You are sort of blind when you can only see dropped traffic.  I believe I saw a post on the beta forum from an admin who said they were evaluating adding this feature, but they were afraid they would have a lot of support calls from people with full hard drives.  

    Maybe a log management feature would be nice too, in that case.  Something where you can say "Delete all logs older than X number of days", and a few other options on when to automatically clear logs.  Anyway, just repeating what I've seen since I have not yet seen any official reply to this post.  

        
Reply
  • 0 in reply to Micah Lloyd
    I'd love to see it too.  I think it would be very useful for troubleshooting, because you can actually see a connection get passed through the firewall.  You are sort of blind when you can only see dropped traffic.  I believe I saw a post on the beta forum from an admin who said they were evaluating adding this feature, but they were afraid they would have a lot of support calls from people with full hard drives.  

    Maybe a log management feature would be nice too, in that case.  Something where you can say "Delete all logs older than X number of days", and a few other options on when to automatically clear logs.  Anyway, just repeating what I've seen since I have not yet seen any official reply to this post.  

        
Children
  • 0 in reply to Moby
    Besides troubleshooting, it's an important forensics tool. 
  • 0 in reply to stretch21
    a.k.a "Witch Hunting" [:$]) 
  • 0 in reply to kd_03
    Hi,
    thats requested from ASTARO some times before they said it is registered on the wishlist but then i dont hear anything about it for long time so "Hello Astaro poeple will this come anytimes and when will it come????????"

    firebear  
  • 0 in reply to kd_03
    "Witch hunting" assumes that you are not investigating an actual incident.  Logs are valuable tools.  If a firewall allows traffic and does not log it, a security administrator may not be able to properly trace connections.  People who view firewalling as the centrepiece or sole component of a security strategy are missing the overall security picture. 
  • 0 in reply to kd_03
    I agree with stretch21. Logging of allowed traffic is very useful. Decide yourself, if you want to see it or not.
    Astaro guys: Please implement this feature. Thanx  
  • 0 in reply to kasi
    In the meantime you can setup Accounting and get a breakdown of protocols and who used them and in which direction.  Useful for analyzing internal users and who is misbehaving.
    Inbound traffic shows as a group where they went and you would look at the logs on the destination server for details.

    The really bad guys should hit the rules and show up as violations in the available logs already.  Idiot crackers that try to subvert my web server don't show up as details in ASL if they use allowed connections but the web server logs certainly shows them.

    And you can see who is going where in realtime.  You just don't have a log of allowed traffic after the fact.