zabezpieczenie
logowanie zdarzeń i monitorowanie
Zapisywanie tego, co dzieje się w systemach, i obserwowanie ich pod kątem kłopotów. NIS2 nie wymienia monitorowania jako osobnego środka. To ono pozwala wykazać obsługę incydentów i kontrolę dostępu.
- co chroni
- Twoją zdolność zauważenia kłopotu i odtworzenia po fakcie, co się stało
- kto za to odpowiada
- szef IT
- zacznij od
- wypisz pięć systemów, których logi byłyby potrzebne najpierw, i sprawdź, jak długo każdy je trzyma
czym jest
Rejestrowanie zdarzeń zapisuje, co dzieje się w systemach: kto się zalogował, co się zmieniło, co zablokowano. Monitorowanie to obserwowanie tych zapisów i samych systemów pod kątem kłopotów, z alertem, gdy coś przekroczy ustawiony próg.
NIS2 nie wymienia monitorowania ani rejestrowania jako osobnego środka. Jego tekst wymaga obsługi incydentów i kontroli dostępu, a obie potrzebują istniejących logów (dziennika zdarzeń): bez nich nie zauważysz incydentu, nie odtworzysz go ani nie pokażesz, kto miał dostęp. DORA wymienia wykrywanie i monitorowanie wprost. Dla wymienionych dostawców usług cyfrowych rozporządzenie wykonawcze Komisji rozpisuje, co rejestrować i jak to chronić, a inni mogą je wykorzystać jako punkt odniesienia.
Pytanie dla większości firm jest więc praktyczne. Które systemy muszą być objęte rejestrowaniem, żeby dało się odpowiedzieć na pytania stawiane przez przepisy, kto patrzy w logi i jak długo je trzymasz. Żaden przepis nie ustala okresu przechowywania, więc wybierz go i zapisz powód.
podstawa NIS2 art. 21(2)(b), 21(2)(i); DORA art. 10(1); IR 2024/2690 załącznik 3.2 jako punkt odniesienia. Lista logów i okresy są praktyką.
jak log staje się czymś, z czego można korzystać
- 1systemyserwery, chmura, sieć, tożsamość i poczta
- 2jeden zegarto samo źródło czasu, żeby ułożyć zdarzenia w kolejności
- 3osobny magazynwłasne ograniczenia dostępu i okres przechowywania dla każdego źródła
- 4alertpróg i wskazana osoba, która go dostaje
- 5przeglądktoś patrzy, a notatka zapisuje, co znaleziono
te same logi pomagają odpowiedzieć na
- incydentzauważony na czas i odtworzony po fakcie
- pytanie o dostępkto miał dostęp, kto go użył, kiedy się zmienił
- zapis naruszeniado czego był dostęp, by spisać okoliczności
podstawa NIS2 art. 21(2)(b), 21(2)(i); DORA art. 10(1); RODO art. 33(5). Etapy i okresy są praktyką.
przykład
Wyobraź sobie firmę ze 150 osobami, która włączyła logowanie wszędzie.
Każdy serwer trzyma logi na własnym dysku i są nadpisywane po kilku dniach. Zegary się rozjeżdżają. Alerty trafiają na skrzynkę, której nikt nie czyta w nocy. Po włamaniu administrator, który wszedł, czyści logi na maszynie, z której korzystał.
Systemy, które się liczą, wysyłają logi w osobne miejsce z własnymi ograniczeniami dostępu i jednym źródłem czasu. Okres przechowywania jest wybrany dla każdego źródła, z zapisanym powodem. Każdy alert ma wskazanego odbiorcę, a comiesięczny przegląd zostawia krótką notatkę.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| NIS2 | NIS2 art. 21(2)(b) | Obsługa incydentów. Artykuł nie wymienia monitorowania ani zapisywania zdarzeń. | Zdecyduj, jakich logów potrzebujesz, by zauważyć incydent i odtworzyć go po fakcie. |
| NIS2 | NIS2 art. 21(2)(i) | Bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami. Artykuł nie wymienia logów zdarzeń. | Prowadź zapisy, kto dostał dostęp, kto z niego korzystał i kiedy go zmieniono. |
| IR 2024/2690 | IR 2024/2690 załącznik 3.2 | Wymienieni dostawcy usług cyfrowych: procedury i narzędzia do monitorowania i rejestrowania aktywności w sieciach i systemach informatycznych, by wykrywać zdarzenia mogące być incydentami. Logi przechowuje się przez z góry ustalony okres i chroni przed nieupoważnionym dostępem i zmianą. | Użyj listy rodzajów zdarzeń jako punktu wyjścia dla własnej listy tego, co rejestrować. |
| IR 2024/2690 | IR 2024/2690 załącznik 11.2.2(f) | Wymienieni dostawcy usług cyfrowych: rejestruj zarządzanie prawami dostępu. | Prowadź log nadawania, zmian i odbierania dostępu. |
| DORA | DORA art. 10(1) | Mechanizmy szybkiego wykrywania nietypowej aktywności, regularnie testowane. Wykrywanie ma progi alarmowe i automatyczne alerty dla osób odpowiedzialnych za reakcję oraz wystarczające zasoby do monitorowania aktywności użytkowników. | Ustaw progi alarmowe, wskaż, kto dostaje alert, i sprawdź, że alert dociera. |
| DORA | DORA art. 17(3)(b) | Procedury identyfikowania, śledzenia, rejestrowania, kategoryzowania i klasyfikowania incydentów związanych z ICT. | Trzymaj zapis incydentu w tym samym miejscu co logi, które go wywołały. |
| RODO | RODO art. 33(5) | Dokumentuj każde naruszenie ochrony danych osobowych, z okolicznościami, skutkami i podjętymi działaniami. | Trzymaj logi dość długo, by po naruszeniu pokazać, do czego był dostęp. |
podstawa NIS2 art. 21(2)(b), 21(2)(i), z których żaden nie wymienia rejestrowania ani monitorowania; IR 2024/2690 załącznik 3.2 i 11.2.2(f) jako punkt odniesienia wyłącznie dla wymienionych dostawców usług cyfrowych; DORA art. 10(1), 17(3)(b); RODO art. 33(5). To, co zabezpieczenie ma robić, jest praktyką.
na co patrzeć przy wyborze
- Czy zbiera dane ze wszystkich systemów, wskazanych do rejestrowania, takich jak serwery, usługi chmurowe, sprzęt sieciowy, tożsamość i poczta, i jak dodać kolejny?
- Czy utrzymuje spójny czas w różnych systemach, żeby dało się ułożyć zdarzenia w kolejności?
- Czy pozwala ustawić progi alarmowe i wysłać alert do wskazanej osoby, telefonem lub wiadomością, o każdej porze?
- Kto czyta alerty? Jeśli po godzinach nikt, jaki jest plan?
- Jak długo przechowuje logi, czy można ustawić okres dla każdego źródła i czy można je trzymać tak, żeby nie dało się ich zmienić?
- Kto może czytać, zmieniać lub usuwać logi i czy ten dostęp też jest zapisywany?
- Czy ostrzega, gdy źródło przestaje wysyłać dane lub ktoś wyłącza rejestrowanie?
- Gdzie logi są przechowywane i czy to miejsce zgadza się z Waszymi zasadami dotyczącymi danych osobowych?
- Ile kosztuje przy rosnącej ilości danych i co dzieje się z logami, gdy odchodzisz?
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Wypisz systemy, z których najpierw potrzebowałbyś logów. Włącz tam rejestrowanie i sprawdź, jak długo każdy z nich trzyma zapisy.
- solidnie
Wysyłaj logi w osobne miejsce, użyj jednego źródła czasu, ustaw progi alarmowe ze wskazanymi odbiorcami i zapisz okres przechowywania dla każdego źródła.
- mocno
Wykrywaj, gdy źródło milknie lub ktoś wyłącza rejestrowanie, ogranicz, kto może czytać lub usuwać logi, i sprawdź, że alert dociera do człowieka po godzinach.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
logi, których nikt nie czyta
Zbieranie wszystkiego bez przeglądania niczego sprawia, że logi przydają się dopiero po szkodzie. Zdecyduj, kto na co patrzy, jak często i co uruchamia alert.
zbyt krótka pamięć
Logi nadpisywane po kilku dniach nie odpowiedzą, co stało się w zeszłym miesiącu. Żaden przepis nie podaje liczby, więc wybierz okres dla każdego źródła i zapisz powód.
logi na systemie, który opisują
Napastnik z uprawnieniami administratora może wyczyścić logi trzymane na tej samej maszynie. Wysyłaj je w miejsce z odrębnym dostępem.
zegary, które się rozjeżdżają
Gdy systemy pokazują różny czas, zdarzeń nie da się ułożyć w kolejności. Używaj jednego źródła czasu w całym środowisku.
dane osobowe w logach bez reguły
Logi aktywności użytkowników są danymi osobowymi. Ustal, kto może je czytać, w jakim celu i jak długo.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| lista systemów objętych rejestrowaniem, z rodzajami zdarzeń i okresem przechowywania dla każdego | szef IT | dwa razy w roku |
| reguły alertów, progi i nazwisko osoby otrzymującej każdy alert | szef IT | dwa razy w roku |
| próbka wyciągu z logów dla jednego dawnego zdarzenia, pokazująca kto, co i kiedy zrobił | szef IT | co kwartał |
| zapis przeglądu logów lub alertów, z tym, co znaleziono i zrobiono | szef IT | co miesiąc |
| ustawienia pokazujące, kto może czytać, zmieniać lub usuwać logi | szef IT | raz w roku |
podstawa practice. Częstotliwość i okresy przechowywania są Twoim wyborem.
sprawdź sam
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
twój następny krok
Wypisz pięć systemów, których logi byłyby pierwsze potrzebne przy incydencie, i sprawdź dziś, jak długo każdy je trzyma.