Zamislite firmu koja doživi bezbednosni incident, ali kada dođe vreme da se istraži šta se tačno dogodilo, ispostavi se da ne postoji nikakav zapis prijava na sistem, pristupa fajlovima, ili mrežne aktivnosti iz perioda kada se incident dogodio. Bez ovih podataka, istraga postaje gotovo nemoguća. Upravo ovaj scenario sprečava dobro organizovano logovanje događaja, o kojem govorimo u ovom tekstu.
Šta je logovanje događaja
Logovanje predstavlja kontinuirano beleženje aktivnosti koje se dešavaju unutar IT sistema — ko se prijavio i kada, kojim resursima je pristupio, kakve promene su napravljene, kakav je bio mrežni saobraćaj. Ovi zapisi, poznati kao logovi, formiraju istorijski zapis koji omogućava kasniju rekonstrukciju šta se tačno dogodilo u sistemu.
Zašto je logovanje kritično za bezbednost
Osnova za forenzičku istragu
Kao što smo objasnili u prethodnom tekstu, digitalna forenzika se u velikoj meri oslanja na analizu logova kako bi se rekonstruisao tok napada. Bez adekvatnog logovanja, mnogo od ove analize jednostavno nije moguće.
Rano otkrivanje sumnjive aktivnosti
Redovno praćenje logova, posebno kroz automatizovane sisteme poput SIEM-a, omogućava otkrivanje sumnjivih obrazaca — na primer, ponovljeni neuspešni pokušaji prijave, ili pristup podacima u neuobičajeno doba dana — pre nego što se pretvore u ozbiljan incident.
Usklađenost sa regulatornim zahtevima
Za firme koje rade sa osetljivim podacima, adekvatno čuvanje logova pristupa često predstavlja i regulatornu obavezu, dokazujući da firma ima kontrolu i vidljivost nad time ko pristupa kojim podacima.
Odgovornost i transparentnost
Logovi omogućavaju jasno utvrđivanje ko je napravio određenu promenu ili pristupio određenom resursu, što je korisno ne samo za bezbednosne istrage, već i za rešavanje internih nesporazuma ili grešaka.
Šta se obično loguje
Prijave i odjave sa sistema
Ko se prijavio, kada, sa kog uređaja ili lokacije, i da li je prijava bila uspešna ili neuspešna.
Pristup fajlovima i resursima
Koji korisnik je pristupio kojem dokumentu ili sistemu, i kakva je akcija preduzeta — čitanje, izmena, brisanje.
Administratorske akcije
Promene bezbednosnih podešavanja, kreiranje ili brisanje naloga, promene prava pristupa — ove akcije zaslužuju posebnu pažnju jer imaju širok uticaj na sistem.
Mrežni saobraćaj
Konekcije ka spoljnim serverima, posebno neuobičajene ili ka sumnjivim destinacijama, koje mogu ukazivati na komunikaciju malicioznog softvera sa spoljnim napadačem.
Bezbednosni događaji
Upozorenja generisana od strane antivirusnih, EDR ili drugih bezbednosnih sistema.
Koliko dugo treba čuvati logove
Ovo zavisi od prirode podataka i regulatornih zahteva koji se primenjuju na firmu, ali generalno, duži period čuvanja omogućava analizu incidenata koji možda nisu odmah primećeni. Mnogi sofisticirani napadi uključuju period tihog prisustva napadača koji može trajati nedeljama ili mesecima pre nego što bude otkriven, što znači da logovi čuvani samo nekoliko dana mogu biti nedovoljni za punu rekonstrukciju događaja.
Izazov velike količine podataka
Sistemi generišu ogromnu količinu logova svakodnevno, što otežava ručni pregled. Ovo je razlog zašto se logovanje često kombinuje sa automatizovanim sistemima poput SIEM-a, koji analiziraju logove i ističu obrasce koji zaslužuju pažnju, umesto da se oslanjaju na ručni pregled svakog pojedinačnog zapisa.
Centralizovano naspram raspršenog logovanja
Kada svaki sistem — server, mrežna oprema, aplikacije — čuva sopstvene logove izolovano, teško je dobiti celovitu sliku, posebno kada incident uključuje više sistema istovremeno. Centralizacija logova na jedno mesto, gde se mogu zajedno analizirati, značajno olakšava i rutinsko praćenje i naknadnu istragu.
Zaštita samih logova
Logovi su vredan bezbednosni resurs, ali su i sami meta napadača — sofisticirani napadači često pokušavaju da izbrišu ili izmene logove kako bi prikrili svoje tragove. Zbog ovoga, dobra praksa je čuvanje logova na odvojenom, zaštićenom mestu, po mogućnosti sa ograničenjima koja sprečavaju čak i administratore da ih menjaju ili brišu bez odgovarajuće autorizacije.
Naš pristup u Trace Link-u
Kao deo standardnog bezbednosnog paketa, uspostavljamo i održavamo sistem logovanja za naše klijente, sa adekvatnim periodom čuvanja i zaštitom samih logova od neovlašćenih izmena, kako bi bili spremni za analizu ako se ikada pojavi potreba za istragom. Radimo sa firmama u Novom Sadu, Beogradu i širom Srbije.
Zaključak
Logovanje događaja predstavlja osnovu na kojoj počiva svaka ozbiljna bezbednosna istraga, rano otkrivanje sumnjive aktivnosti, i regulatorna usklađenost. Firme koje zanemare ovu, naizgled tehničku stavku, često otkriju njen značaj tek kada im zatreba informacija koje jednostavno nema. Ako niste sigurni da li vaš sistem adekvatno beleži i čuva ove podatke, javite nam se preko kontakt forme.