Przejdź do głównej zawartości

8.15 Rejestrowanie zdarzeń

W skrócie: systemy zapisują, kto co zrobił i co się wydarzyło; logi są chronione przed zmianą i rzeczywiście analizowane.

Cel: rejestrowanie zdarzeń, wytwarzanie dowodów, zapewnienie integralności informacji w dziennikach, ochrona przed nieuprawnionym dostępem, identyfikacja zdarzeń bezpieczeństwa mogących prowadzić do incydentu i wsparcie dochodzeń.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Detective (wykrywające)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Detect (wykrywanie)
Zdolności operacyjne#Information_security_event_management (zarządzanie zdarzeniami bezpieczeństwa informacji)
Domeny bezpieczeństwa#Protection (ochrona), #Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja określa cel tworzenia logów, jakie dane zbiera i rejestruje, zgodnie z polityką tematyczną rejestrowania.
  • Dzienniki obejmują zwykle: identyfikator użytkownika, działania w systemie, datę i czas, identyfikator urządzenia i lokalizację, adresy sieciowe, protokoły.
  • Rejestruje się m.in.: udane i odrzucone próby dostępu, zmiany konfiguracji, użycie uprawnień uprzywilejowanych, użycie programów narzędziowych, użycie plików, alarmy systemowe, uruchamianie i zatrzymywanie zabezpieczeń (np. antywirusa), tworzenie, zmiany i usuwanie tożsamości, transakcje w aplikacjach.
  • Logi chroni się przed zmianą i nieuprawnionym dostępem — także ze strony administratorów. Rozważa się kopie logów poza kontrolą administratora systemu, sumy kontrolne, przechowywanie w trybie tylko do zapisu.
  • Uwzględnia się zagrożenia: zmiany typów rejestrowanych komunikatów, edycję lub usunięcie logów, przepełnienie nośnika powodujące utratę zapisów.
  • Logi mogą zawierać dane wrażliwe i osobowe — chroni się je odpowiednio, np. przez maskowanie (8.11).
  • Logi analizuje się: identyfikuje nietypowe działania, korzysta z narzędzi do analizy, korelacji i alertów, porównuje z wiedzą o zagrożeniach (5.7). Czas w logach musi być zsynchronizowany (8.17).

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Centralny SIEM lub platforma logów (Elastic, Splunk, Wazuh, Graylog) z retencją dopasowaną do typowego czasu wykrycia włamania i wymagań prawnych.
  • Wysyłka logów do miejsca, do którego administrator systemu źródłowego nie ma dostępu do zapisu.
  • Dobre pokrycie zamiast „rejestruj wszystko”: logowanie uwierzytelniania, działań administracyjnych i dostępu do danych wrażliwych daje najwięcej przy rozsądnym koszcie.

Powiązania​