Γιατί τα αρχεία καταγραφής αποτελούν ειδική περίπτωση
Ο γενικός έλεγχος ακεραιότητας αρχείων προστατεύει αρχεία που σπάνια θα έπρεπε να αλλάζουν. Τα αρχεία καταγραφής (logs), αντίθετα, αλλάζουν συνεχώς εξ ορισμού: κάθε λεπτό λειτουργίας προσθέτει νέες εγγραφές. Μια απλή σύγκριση με το βασικό σημείο αναφοράς της προηγούμενης ημέρας αναφέρει χιλιάδες αναμενόμενες διαφορές και κρύβει τη μία που έχει σημασία. Ο έλεγχος ειδικά για logs θέτει επομένως ένα στενότερο ερώτημα: άλλαξε το αρχείο με τρόπο που η απλή προσθήκη δεν μπορεί να εξηγήσει;
Ο δεύτερος λόγος είναι αποδεικτικός. Όταν διερευνάται ένα περιστατικό, το αρχείο καταγραφής είναι η κύρια πηγή για την ανασύσταση του χρονολογίου: ποιος πιστοποιήθηκε, τι άνοιξε, τι αντιγράφηκε. Όποιος ελέγχει το αρχείο ελέγχει και την αφήγηση των γεγονότων, και ένας χρήστης με προνόμια μπορεί συχνά να γράψει τις ίδιες τις εγγραφές που περιγράφουν τις ενέργειές του.
Πώς επαληθεύεται η ακεραιότητα των αρχείων καταγραφής
Αρκετοί μηχανισμοί λειτουργούν μαζί. Οι βασικοί είναι:
| Μηχανισμός | Τι κάνει |
|---|---|
| Κρυπτογραφικό hashing | Εντοπίζει κάθε αλλαγή, και τις επεξεργασίες που διατηρούν το μέγεθος του αρχείου |
| Αλυσίδωση hash | Σπάει την αλυσίδα αν αλλοιωθεί, αναδιαταχθεί ή αφαιρεθεί παλαιότερο περιεχόμενο |
| Ψηφιακές υπογραφές | Επιτρέπουν επαλήθευση γνησιότητας ανεξάρτητα από την αποθήκευση |
| Κεντρική προώθηση | Αντίγραφα σχεδόν σε πραγματικό χρόνο σε συλλέκτη εκτός ελέγχου της πηγής |
| Αποθήκευση μόνο-προσάρτησης | Εμποδίζει φυσικά την τροποποίηση ή διαγραφή για ορισμένο διάστημα |
| Ακεραιότητα χρόνου | Συγχρονισμένα ρολόγια και παρακολούθηση αλλαγών ρολογιού |
Τι θεωρείται παραποίηση
Η παραποίηση παίρνει αναγνωρίσιμες μορφές, και η γνώση τους είναι το μισό της ανίχνευσης:
- Τροποποίηση εγγραφής: επανασύνταξη μιας εγγραφής (όνομα χρήστη, ενέργεια, αποτέλεσμα) με διατήρηση των χρονοσφραγίδων γύρω της.
- Περικοπή: αφαίρεση του τέλους του αρχείου, όπου βρίσκονται οι πιο πρόσφατες και ενοχοποιητικές εγγραφές.
- Επιλεκτική διαγραφή: αφαίρεση μεμονωμένων εγγραφών με κλείσιμο των κενών, ή διαγραφή ολόκληρων αρχείων με πρόφαση την κανονική περιστροφή.
- Κατάχρηση περιστροφής: εξαναγκασμός γρήγορης περιστροφής ώστε ενοχλητικές εγγραφές να λήξουν νωρίτερα.
- Απενεργοποιημένη καταγραφή: απενεργοποίηση του ελέγχου, η ενέργεια και η επανενεργοποίηση. Το ίδιο το κενό είναι απόδειξη.
- Παραποίηση χρονοσφραγίδας: αλλαγή του ρολογιού του συστήματος ή εισαγωγή εγγραφών εκτός σειράς για διαστρέβλωση της ακολουθίας.
Σχέση με την παρακολούθηση ακεραιότητας αρχείων
Ο έλεγχος ακεραιότητας αρχείων καταγραφής είναι εξειδικευμένη εφαρμογή του ελέγχου ακεραιότητας αρχείων και του FIM. Χρησιμοποιεί την ίδια ιδέα hash και βασικού σημείου αναφοράς, με διαφορές έμφασης και όχι αρχής.
| Πτυχή | Γενική ακεραιότητα αρχείων | Έλεγχος αρχείων καταγραφής |
|---|---|---|
| Αναμενόμενες αλλαγές | Θα έπρεπε να είναι σπάνιες | Συνεχείς, αφού κάθε λεπτό προσθέτει εγγραφές |
| Μέθοδος σύγκρισης | Περιοδική σύγκριση ολόκληρου του αρχείου, που εξασθενεί από τον όγκο | Μέθοδοι ροής: προώθηση, αλυσίδωση, υπογραφή κατά την εγγραφή |
| Κύριος στόχος | Εντοπισμός αλλαγής στο αρχείο | Διατήρηση της αποδεικτικής αξίας κάθε εγγραφής καθ' όλη τη διάρκεια |
Πλαίσιο συμμόρφωσης και εγκληματολογικής ανάλυσης
Τα πλαίσια ασφαλείας αντιμετωπίζουν τα logs ελέγχου ως προστατευμένες εγγραφές. Το PCI DSS απαιτεί προστασία των δεδομένων καταγραφής από τροποποίηση, η οικογένεια ISO 27000 αναμένει μηχανισμούς καταγραφής και παρακολούθησης, και οι έλεγχοι SOC 2 εξετάζουν την ακεραιότητα των αρχείων καταγραφής. Η κοινή προσδοκία είναι ότι μπορεί να αποδειχθεί πως τα αρχεία είναι πλήρη και αναλλοίωτα καθ' όλη την περίοδο διατήρησής τους.
Στην αντιμετώπιση περιστατικών, η αξία ενός αρχείου καταγραφής εξαρτάται από την εμπιστοσύνη σε αυτό. Ο ερευνητής που δεν μπορεί να αποκλείσει την παραποίηση πρέπει να θεωρήσει το χρονολόγιο αναξιόπιστο και να το επιβεβαιώσει από ανεξάρτητες πηγές. Οι έλεγχοι ακεραιότητας επιτρέπουν στο αρχείο να λειτουργεί ως αξιόπιστη είσοδος, όχι απλώς ως ένδειξη.
Στην ίδια της την κονσόλα, η Anexet κρατά το ίδιο είδος καταγραφής. Το αρχείο καταγραφής ερευνών δείχνει πότε δημιουργήθηκε κάθε υπόθεση και ποιος την άνοιξε, ώστε κάθε ενέργεια πάνω σε μια υπόθεση να αντιστοιχεί σε συγκεκριμένο πρόσωπο. Το ιστορικό συμβάντων μπορεί επίσης να περιοριστεί ανά ημερομηνία και σοβαρότητα πριν από την εξέταση.
1 / 2
Πρακτικές σημειώσεις υλοποίησης
Οι υλοποιήσεις που αντέχουν στον χρόνο έχουν μερικά κοινά χαρακτηριστικά. Τα αρχεία καταγραφής φεύγουν γρήγορα από το σύστημα πηγής προς αποθήκευση στην οποία οι ίδιοι οι διαχειριστές της πηγής δεν μπορούν να γράψουν. Τα ρολόγια είναι συγχρονισμένα σε όλη την υποδομή, επειδή η ακεραιότητα χωρίς ακριβή χρόνο παράγει και πάλι ένα σπασμένο χρονολόγιο. Η παρακολούθηση προσέχει τόσο την απουσία όσο και την αλλαγή: ένας διακομιστής του οποίου τα αρχεία σταματούν να φτάνουν αξίζει ειδοποίηση.
Η επαλήθευση γίνεται κατά την εισαγωγή αλλά και μετά την αποθήκευση. Η διατήρηση και η ακεραιότητα αποφασίζονται μαζί, αφού η πολυετής διατήρηση απαιτεί την ίδια πολυετή ικανότητα να αποδεικνύεται ότι η εγγραφή δεν άλλαξε.
Περισσότερα: Τι είναι τα συστήματα SIEM για τη διαχείριση της ασφάλειας πληροφοριών;.
Ένα αρχείο καταγραφής αξίζει όσο η απόδειξη ότι κανείς δεν το άλλαξε από τη στιγμή που γράφτηκε.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Ο έλεγχος ακεραιότητας αρχείων καταγραφής, με την κλασική του έννοια, ανήκει σε εργαλεία ασφαλείας επιπέδου συστήματος: το Anexet δεν είναι μηχανή παρακολούθησης ακεραιότητας αρχείων και δεν επαληθεύει τα αρχεία καταγραφής λειτουργικών συστημάτων ή εφαρμογών τρίτων. Η επικάλυψη είναι πιο στενή. Το Anexet παράγει τη δική του εγγραφή συμβάντων για δραστηριότητα σχετική με δεδομένα, σχεδιασμένη για τον ίδιο σκοπό: να καθορίσει τι συνέβη, πότε, και ποιος λογαριασμός ήταν υπεύθυνος.
Επειδή το Anexet λειτουργεί on-premise, τα συμβάντα που καταγράφει, συμπεριλαμβανομένου του ίχνους ελέγχου του πώς διεξήχθησαν οι έρευνες, παραμένουν εντός της υποδομής του οργανισμού και υπό τους δικούς του ελέγχους πρόσβασης.
Καταγραφή συμβάντων με μεταδεδομένα
κάθε παρακολουθούμενο συμβάν, μια μεταφορά, ένα μπλοκάρισμα, μια καραντίνα, μια ειδοποίηση, καταγράφεται με μεταδεδομένα: χρήστης, χρονοσφραγίδα, κανάλι, ταξινόμηση περιεχομένου και η ενέργεια που έγινε, αποθηκευμένα κεντρικά και όχι μόνο στο endpoint.
Αναζητήσιμο, εξαγώγιμο ιστορικό
τα καταγεγραμμένα συμβάντα μπορούν να αναζητηθούν, να φιλτραριστούν και να εξαχθούν σε κοινές μορφές, μεταξύ αυτών PDF, CSV, XLSX και HTML, για επισκόπηση, διατήρηση και κοινή χρήση με ελεγκτές.
Έρευνες ως υποθέσεις
τα περιστατικά ασφαλείας αντιμετωπίζονται ως υποθέσεις έρευνας: σχετικό υλικό, τα εμπλεκόμενα άτομα, δραστηριότητες και τα αποτελέσματά τους, και τα ευρήματα παραμένουν μαζί ως δομημένη υπόθεση αντί για ασύνδετα αρχεία.
Ίχνος ελέγχου της ίδιας της έρευνας
κάθε υπόθεση διατηρεί το δικό της log σχετικά με το ποιος εργάστηκε πάνω της, ποιος την τροποποίησε και ποιος απλώς την είδε χωρίς αλλαγές, έτσι το ζήτημα της ακεραιότητας επεκτείνεται και στην ίδια την έρευνα.
Συμπληρωματικό, όχι επικαλυπτόμενο
για την ακεραιότητα των αρχείων καταγραφής λειτουργικού συστήματος και εφαρμογών, εξειδικευμένα εργαλεία προστασίας logs παραμένουν η απάντηση· η συνεισφορά του Anexet είναι το πλήρες, αποδοτέο ίχνος ελέγχου του χειρισμού δεδομένων, χρησιμοποιούμενο παράλληλα με αυτά τα logs συστήματος.
Anexet DLP
Μάθετε περισσότερα