Dlaczego dzienniki są przypadkiem szczególnym
Ogólna kontrola integralności plików chroni pliki, które rzadko powinny się zmieniać. Pliki dziennika zmieniają się jednak nieustannie z założenia: każda minuta pracy dopisuje nowe wpisy. Proste porównanie z wczorajszym punktem odniesienia zgłasza tysiące oczekiwanych różnic i ukrywa tę jedną, która ma znaczenie. Kontrola dzienników zadaje więc węższe pytanie: czy plik zmienił się w sposób, którego samo dopisywanie nie może wyjaśnić?
Drugi powód ma charakter dowodowy. Przy badaniu incydentu dziennik jest głównym źródłem do odtworzenia osi czasu: kto się zalogował, co zostało otwarte, co skopiowano. Kto kontroluje dziennik, ten kontroluje relację o zdarzeniach, a użytkownik z uprawnieniami często może sam napisać wpisy opisujące jego działania.
Jak weryfikuje się integralność dzienników
Kilka mechanizmów działa razem. Najważniejsze z nich to:
| Mechanizm | Co robi |
|---|---|
| Haszowanie kryptograficzne | Wykrywa każdą zmianę, także edycje zachowujące rozmiar pliku |
| Łańcuchowanie haszy | Zrywa łańcuch, gdy wcześniejsza treść zostanie zmieniona, przestawiona lub usunięta |
| Podpisy cyfrowe | Pozwalają zweryfikować autentyczność niezależnie od magazynu |
| Scentralizowane przekazywanie | Kopie trafiają niemal w czasie rzeczywistym do kolektora poza kontrolą źródła |
| Magazyn tylko-do-dopisywania | Fizycznie uniemożliwia modyfikację lub usunięcie przez określony czas |
| Integralność czasu | Zsynchronizowane zegary i monitoring zmian zegara, bo oś czasu zależy od znaczników |
Co uznaje się za manipulację
Manipulacja przybiera rozpoznawalne formy, a ich znajomość to połowa wykrycia:
- Modyfikacja wpisu: przepisanie rekordu (nazwy użytkownika, działania lub wyniku) przy zachowaniu otaczających znaczników czasu i liczby wierszy.
- Obcięcie: usunięcie końcówki pliku, gdzie znajdują się najnowsze i najbardziej obciążające wpisy.
- Selektywne usuwanie: kasowanie pojedynczych wpisów i zamykanie luk albo usuwanie całych plików z winą zrzuconą na rutynową rotację.
- Nadużycie rotacji: wymuszanie szybkiej rotacji, aby niewygodne zapisy wygasły z retencji przed czasem.
- Wyłączone logowanie: wyłączenie audytu, działanie i ponowne włączenie. Sama luka jest dowodem.
- Manipulacja znacznikiem czasu: zmiana zegara systemowego lub wstawianie wpisów poza kolejnością, aby zniekształcić sekwencję zdarzeń.
Relacja do monitorowania integralności plików
Kontrola integralności plików dziennika jest wyspecjalizowanym zastosowaniem kontroli integralności plików i FIM. Stosuje tę samą ideę haszu i punktu odniesienia do plików dziennika. Różnice dotyczą akcentów, nie zasady.
| Aspekt | Ogólna integralność plików | Kontrola dzienników |
|---|---|---|
| Oczekiwane zmiany | Powinny zdarzać się rzadko | Stałe, bo każda minuta dopisuje wpisy |
| Metoda porównania | Okresowe porównanie całego pliku, osłabiane przez duży wolumen | Metody strumieniowe: przekazywanie, łańcuchowanie, podpis przy zapisie |
| Główny cel | Wykrycie, że plik się zmienił | Zachowanie wartości dowodowej wpisu przez cały okres retencji |
Kontekst zgodności i kryminalistyczny
Ramy bezpieczeństwa traktują dzienniki audytu jako chronione zapisy. PCI DSS wymaga ochrony danych dziennika przed modyfikacją, rodzina ISO 27000 oczekuje mechanizmów logowania i monitorowania, a audyty SOC 2 badają integralność dzienników. Wspólnym oczekiwaniem jest możliwość wykazania, że dzienniki są kompletne i niezmienione przez cały okres retencji.
W reagowaniu na incydenty wartość dziennika zależy od zaufania do niego. Śledczy, który nie może wykluczyć manipulacji, musi traktować oś czasu jako niewiarygodną i potwierdzić ją z niezależnych źródeł. Kontrole integralności sprawiają, że dziennik może być wiarygodnym materiałem, a nie tylko wskazówką.
W konsoli Anexet działa ten sam rodzaj zapisu. Dziennik dochodzeń pokazuje, kiedy utworzono każdą sprawę i kto ją otworzył, dzięki czemu praca nad sprawą pozostaje przypisana do konkretnych osób. Historię zdarzeń można przed przeglądem zawęzić według daty i poziomu ważności.
1 / 2
Praktyczne uwagi wdrożeniowe
Sprawdzone wdrożenia mają kilka wspólnych cech. Dzienniki szybko opuszczają system źródłowy i trafiają do magazynu, do którego administratorzy źródła nie mają prawa zapisu. Zegary są zsynchronizowane w całej infrastrukturze, bo integralność bez dokładnego czasu nadal daje zepsutą oś czasu. Monitoring obserwuje brak tak samo jak zmianę: serwer, którego dzienniki przestają napływać, zasługuje na alert. Weryfikacja odbywa się przy przyjęciu danych i po ich zapisaniu.
Retencja i integralność są ustalane razem. Wieloletnia retencja wymaga równie długiej zdolności do wykazania, że zapis się nie zmienił.
Czytaj dalej: Czym są systemy SIEM w zarządzaniu bezpieczeństwem informacji?.
Dziennik jest wiarygodny tylko wtedy, gdy istnieje dowód, że nikt nie zmienił go od chwili zapisu.
Anexet TeamJak rozwiązuje to Anexet
Kontrola integralności plików dziennika w klasycznym sensie należy do narzędzi bezpieczeństwa na poziomie systemu: Anexet nie jest silnikiem monitorowania integralności plików i nie weryfikuje plików dziennika systemów operacyjnych ani aplikacji firm trzecich. Zakres nakładania się jest węższy. Anexet tworzy własny zapis zdarzeń związanych z aktywnością dotyczącą danych, zbudowany w tym samym celu: ustalenie, co się stało, kiedy i które konto było za to odpowiedzialne.
Ponieważ Anexet działa on-premise, rejestrowane przez niego zdarzenia, w tym ślad audytu tego, jak prowadzono dochodzenia, pozostają wewnątrz infrastruktury organizacji i pod jej kontrolą dostępu.
Rejestrowanie zdarzeń z metadanymi
każde monitorowane zdarzenie, transfer, blokada, kwarantanna, alert, jest rejestrowane z metadanymi: użytkownik, znacznik czasu, kanał, klasyfikacja treści i podjęte działanie, przechowywane centralnie, a nie tylko na punkcie końcowym.
Przeszukiwalna, eksportowalna historia
zarejestrowane zdarzenia można przeszukiwać, filtrować i eksportować w typowych formatach, między innymi PDF, CSV, XLSX i HTML, do przeglądu, retencji i udostępniania audytorom.
Dochodzenia jako sprawy
incydenty bezpieczeństwa są obsługiwane jako sprawy dochodzeniowe: powiązane materiały, zaangażowane osoby, działania i ich wyniki oraz ustalenia pozostają razem jako uporządkowana sprawa, a nie luźne pliki.
Ślad audytu samego dochodzenia
każda sprawa prowadzi własny dziennik tego, kto nad nią pracował, kto ją zmodyfikował, a kto tylko przeglądał bez zmian, dzięki czemu pytanie o integralność obejmuje także samo dochodzenie.
Uzupełniające, a nie nakładające się
za integralność plików dziennika systemu operacyjnego i aplikacji nadal odpowiadają dedykowane narzędzia ochrony dzienników; wkładem Anexet jest kompletny, przypisywalny ślad audytu obsługi danych, stosowany obok tych dzienników systemowych.
Anexet DLP
Dowiedz się więcej