Perché i log sono un caso particolare
Il controllo di integrità dei file, in generale, protegge file che dovrebbero cambiare raramente. I file di log, invece, cambiano di continuo per progettazione: ogni minuto di funzionamento aggiunge nuove voci. Un semplice confronto con la baseline di ieri segnala quindi migliaia di differenze previste e nasconde quella che conta. Il controllo specifico per i log pone una domanda più mirata: il file è cambiato in un modo che la semplice aggiunta non può spiegare?
Il secondo motivo è probatorio. Quando un incidente viene indagato, il log è la fonte principale per ricostruire una cronologia: chi si è autenticato, cosa è stato aperto, cosa è stato copiato. Chi controlla il log controlla il racconto degli eventi, e un utente privilegiato può spesso scrivere da sé le voci che descrivono le sue azioni.
Come viene verificata l'integrità dei log
Diversi controlli lavorano insieme. I principali sono:
| Controllo | Cosa fa |
|---|---|
| Hashing crittografico | Rileva ogni modifica, incluse quelle che mantengono la dimensione del file |
| Concatenamento degli hash | Spezza la catena se un contenuto precedente viene alterato, riordinato o rimosso |
| Firme digitali | Consentono di verificare l'autenticità indipendentemente dallo storage |
| Inoltro centralizzato | Copie quasi in tempo reale fuori dal controllo della fonte |
| Archiviazione solo in aggiunta | Impedisce fisicamente modifiche o cancellazioni per un periodo definito |
| Integrità temporale | Orologi sincronizzati e monitoraggio dei cambi di orologio |
Cosa conta come manomissione
La manomissione assume forme riconoscibili, e conoscerle è metà del rilevamento:
- Modifica di una voce: riscrivere un record (nome utente, azione o esito) mantenendo i timestamp e il numero di righe circostanti.
- Troncamento: eliminare la coda del file, dove si trovano le voci più recenti e più compromettenti.
- Cancellazione selettiva: rimuovere singole voci chiudendo i vuoti, oppure eliminare interi file attribuendo la colpa alla rotazione di routine.
- Abuso della rotazione: forzare una rotazione rapida perché i record scomodi escano dalla conservazione in anticipo.
- Registrazione disattivata: spegnere il log di audit, agire, poi riattivarlo. Il vuoto stesso è la prova.
- Manipolazione del timestamp: cambiare l'orologio di sistema o inserire voci fuori sequenza per distorcere l'ordine degli eventi.
Relazione con il monitoraggio dell'integrità dei file
Il controllo dell'integrità dei file di log è un'applicazione specializzata del controllo dell'integrità dei file e del FIM. Usa la stessa logica di hash e baseline, con differenze di enfasi più che di principio.
| Aspetto | Integrità dei file in generale | Controllo dei log |
|---|---|---|
| Modifiche attese | Dovrebbero essere rare | Continue, perché ogni minuto aggiunge voci |
| Metodo di confronto | Confronto periodico dell'intero file, indebolito dal volume | Metodi in streaming: inoltro, concatenamento, firma in scrittura |
| Obiettivo principale | Rilevare che un file è cambiato | Preservare il valore probatorio di ogni record per tutta la conservazione |
Contesto di conformità e forense
I framework di sicurezza trattano i log di audit come record protetti. Il PCI DSS richiede la protezione dei dati di log dalle modifiche, la famiglia ISO 27000 prevede controlli di registrazione e monitoraggio, e gli audit SOC 2 esaminano l'integrità dei log. L'aspettativa comune è poter dimostrare che i log sono completi e non alterati per tutto il periodo di conservazione.
Nella risposta agli incidenti, il valore di un log dipende dalla fiducia che gli si accorda. Un investigatore che non può escludere una manomissione deve considerare la cronologia inaffidabile e confermarla con fonti indipendenti. I controlli di integrità permettono a un log di essere un input affidabile e non solo un indizio.
All'interno della propria console, Anexet conserva lo stesso tipo di registrazione. Il registro delle indagini mostra quando è stato creato ogni caso e chi lo ha aperto, così il lavoro su ciascun caso resta attribuibile. La cronologia degli eventi può inoltre essere ristretta per data e gravità prima della revisione.
1 / 2
Note pratiche per l'implementazione
Le implementazioni solide condividono alcune caratteristiche. I log lasciano rapidamente il sistema di origine verso uno storage su cui gli stessi amministratori della fonte non possono scrivere. Gli orologi sono sincronizzati in tutta l'infrastruttura, perché l'integrità senza un orario preciso produce comunque una cronologia rotta. Il monitoraggio controlla sia l'assenza sia il cambiamento: un server i cui log smettono di arrivare merita un alert.
La verifica avviene all'ingestione e anche dopo l'archiviazione. Conservazione e integrità si decidono insieme, perché una conservazione pluriennale richiede la stessa capacità, per più anni, di dimostrare che il record non è cambiato.
Per approfondire: Cosa sono i sistemi SIEM per la gestione della sicurezza informatica?.
Un log vale quanto la prova che nessuno lo ha modificato da quando è stato scritto.
Anexet TeamCome Anexet affronta questo
Il controllo dell'integrità dei file di log, nel senso classico, appartiene agli strumenti di sicurezza a livello di sistema: Anexet non è un motore di monitoraggio dell'integrità dei file e non verifica i file di log dei sistemi operativi o delle applicazioni di terze parti. La sovrapposizione è più circoscritta. Anexet produce il proprio registro di eventi dell'attività relativa ai dati, costruito per lo stesso scopo: stabilire cosa è successo, quando e quale account ne era responsabile.
Poiché Anexet viene eseguito on-premise, gli eventi che registra, incluso il registro di controllo di come sono state condotte le indagini, restano all'interno dell'infrastruttura dell'organizzazione e dei suoi controlli di accesso.
Registrazione degli eventi con metadati
ogni evento monitorato, un trasferimento, un blocco, una quarantena, un avviso, viene registrato con metadati: utente, timestamp, canale, classificazione del contenuto e azione intrapresa, archiviati centralmente anziché solo sull'endpoint.
Cronologia ricercabile ed esportabile
gli eventi registrati possono essere cercati, filtrati ed esportati in formati comuni, tra cui PDF, CSV, XLSX e HTML, per la revisione, la conservazione e la condivisione con i revisori.
Indagini come casi
gli incidenti di sicurezza sono gestiti come casi di indagine: materiali correlati, le persone coinvolte, le attività e i loro risultati, e le conclusioni restano insieme come un caso strutturato anziché file sparsi.
Registro di controllo dell'indagine stessa
ogni caso mantiene un proprio log di chi vi ha lavorato, chi lo ha modificato e chi lo ha solo visualizzato senza modifiche, cosicché la questione dell'integrità si estende anche all'indagine stessa.
Complementare, non sovrapposto
per l'integrità dei file di log del sistema operativo e delle applicazioni, restano la risposta gli strumenti dedicati di protezione dei log; il contributo di Anexet è il registro di controllo completo e attribuibile della gestione dei dati, usato insieme a quei log di sistema.
Anexet DLP
Scopri di più