Porque os registros são um caso especial
A verificação da integridade de arquivos, em geral, protege arquivos que raramente deveriam mudar. Os arquivos de registro, porém, mudam continuamente por concepção: a cada minuto de funcionamento são acrescentadas novas entradas. Uma simples comparação com a referência de ontem assinala milhares de diferenças esperadas e esconde a única que importa. A verificação específica de registros faz, por isso, uma pergunta mais restrita: o arquivo mudou de forma que o simples acréscimo não consegue explicar?
A segunda razão é probatória. Quando se investiga um incidente, o registro é a fonte principal para reconstituir a sequência temporal: quem se autenticou, o que foi aberto, o que foi copiado. Quem controla o registro controla a versão dos fatos, e um usuário com privilégios pode muitas vezes escrever os próprios registros que descrevem as suas ações.
Como se verifica a integridade dos registros
Vários controlos funcionam em conjunto. Os principais são:
| Controlo | O que faz |
|---|---|
| Hashing criptográfico | Deteta qualquer alteração, incluindo edições que mantêm o tamanho do arquivo |
| Encadeamento de hashes | Quebra a cadeia se um conteúdo anterior for alterado, reordenado ou removido |
| Assinaturas digitais | Permitem verificar a autenticidade independentemente do armazenamento |
| Encaminhamento centralizado | Cópias em tempo quase real num coletor fora do controlo da origem |
| Armazenamento só de acréscimo | Impede fisicamente a alteração ou eliminação durante um período definido |
| Integridade temporal | Relógios sincronizados e monitoramento de alterações ao relógio |
O que conta como adulteração
A adulteração assume formas reconhecíveis, e conhecê-las é meio caminho para a detetar:
- Alteração de uma entrada: reescrever um registro (nome de usuário, ação ou resultado), mantendo as datas e o número de linhas à volta.
- Truncagem: remover o fim do arquivo, onde estão as entradas mais recentes e mais incriminatórias.
- Eliminação seletiva: apagar entradas isoladas e fechar as lacunas, ou eliminar arquivos inteiros atribuindo a culpa à rotação normal.
- Abuso da rotação: forçar uma rotação rápida para que registros incómodos saiam da retenção antes do previsto.
- Registro desativado: desligar o registro de auditoria, agir e voltar a ativá-lo. A própria lacuna é a prova.
- Manipulação de datas: alterar o relógio do sistema ou inserir entradas fora de ordem para distorcer a sequência de eventos.
Relação com a monitoramento da integridade de arquivos
A verificação da integridade de arquivos de registro é uma aplicação especializada da verificação de integridade e do FIM. Aplica a mesma ideia de hash e referência, com diferenças de ênfase e não de princípio.
| Aspeto | Integridade de arquivos em geral | Verificação de registros |
|---|---|---|
| Alterações esperadas | Devem ser raras | Constantes, porque cada minuto acrescenta entradas |
| Método de comparação | Comparação periódica do arquivo inteiro, enfraquecida pelo volume | Métodos de fluxo: encaminhamento, encadeamento e assinatura na escrita |
| Objetivo principal | Detetar que um arquivo mudou | Preservar o valor probatório de cada registro durante a retenção |
Enquadramento de conformidade e forense
Os referenciais de segurança tratam os registros de auditoria como registros protegidos. A PCI DSS exige proteger os dados de registro contra modificação, a família ISO 27000 espera controlos de registro e monitoramento, e as auditorias SOC 2 examinam a integridade dos registros. A expectativa comum é poder demonstrar que os registros estão completos e inalterados durante todo o período de retenção.
Na resposta a incidentes, o valor de um registro depende da confiança que lhe é atribuída. Um investigador que não consegue excluir a adulteração deve tratar a cronologia como não fiável e confirmá-la com fontes independentes. Os controlos de integridade são o que permite que um registro seja uma prova fiável, e não apenas um indício.
Na própria console, a Anexet mantém o mesmo tipo de registro. O registro de investigações mostra quando cada caso foi criado e quem o abriu, para que o trabalho em cada caso continue atribuível a pessoas específicas. O histórico de eventos também pode ser restringido por data e gravidade antes da revisão.
1 / 2
Notas práticas de implementação
As implementações que resistem ao tempo têm algumas características em comum. Os registros saem rapidamente do sistema de origem para um armazenamento onde os próprios administradores da origem não podem escrever. Os relógios estão sincronizados em toda a infraestrutura, porque a integridade sem hora exata continua a produzir uma cronologia partida. O monitoramento observa tanto a ausência quanto a alteração: um servidor cujos registros deixam de chegar merece um alerta.
A verificação ocorre à entrada dos dados e também depois do armazenamento. A retenção e a integridade decidem-se em conjunto, pois uma retenção de vários anos exige a mesma capacidade, durante vários anos, de provar que o registro não mudou.
Leitura adicional: O que são sistemas SIEM para a gestão da segurança da informação?.
Um registro só vale tanto quanto a prova de que ninguém o alterou desde que foi gravado.
Anexet TeamComo a Anexet resolve isto
A verificação da integridade de arquivos de log, no sentido clássico, pertence às ferramentas de segurança em nível de sistema: o Anexet não é um mecanismo de monitoramento de integridade de arquivos e não verifica os arquivos de log de sistemas operacionais ou aplicativos de terceiros. A sobreposição é mais restrita. O Anexet produz seu próprio registro de eventos de atividade relacionada a dados, criado com o mesmo propósito: estabelecer o que aconteceu, quando e qual conta foi responsável.
Como o Anexet é executado on-premise, os eventos que ele registra, incluindo a trilha de auditoria de como as investigações foram conduzidas, permanecem dentro da infraestrutura da organização e sob seus controles de acesso.
Registro de eventos com metadados
cada evento monitorado, uma transferência, um bloqueio, uma quarentena, um alerta, é registrado com metadados: usuário, registro de data e hora, canal, classificação de conteúdo e a ação tomada, armazenados de forma centralizada, e não apenas no endpoint.
Histórico pesquisável e exportável
os eventos registrados podem ser pesquisados, filtrados e exportados em formatos comuns, entre eles PDF, CSV, XLSX e HTML, para revisão, retenção e compartilhamento com auditores.
Investigações como casos
os incidentes de segurança são tratados como casos de investigação: materiais relacionados, as pessoas envolvidas, atividades e seus resultados, e as conclusões permanecem juntos como um caso estruturado, em vez de arquivos avulsos.
Trilha de auditoria da própria investigação
cada caso mantém seu próprio log de quem trabalhou nele, quem o modificou e quem apenas o visualizou sem alterá-lo, de modo que a questão da integridade se estende à própria investigação.
Complementar, não sobreposto
para a integridade dos arquivos de log de sistemas operacionais e aplicativos, ferramentas dedicadas de proteção de logs continuam sendo a resposta; a contribuição do Anexet é a trilha de auditoria completa e atribuível do tratamento de dados, usada em conjunto com esses logs de sistema.
Anexet DLP
Saiba mais