A biztonsági incidensek feltárása és utólagos elemzése nem lehetséges naplóállományok nélkül. Ezek gyűjtése és elemzése azonban nem egyszerű feladat – sokaknak érdemes lehet szolgáltatásként igénybe venni.
◼︎ Logmenedzsment-as-a-Service
Az informatikai rendszerekből származó működési adatok, a napló- vagy logállományok rendszerezett gyűjtése és elemzése nem új keletű dolog, de a zsarolóvírusos támadások terjedése csak tovább erősítette fontosságukat. A kártevők gyakran nem csak a vállalati adatokat teszik elérhetetlenné, hanem törlik vagy titkosítják a logfájlokat is, ezzel pedig óriási mértékben megnehezítik vagy akár lehetetlenné is teszik a támadás felgöngyölítését, a történetek utólagos megismerését, hangsúlyozza Tóth László (vagy ahogy szakmai körökben régóta ismerik: Zui), a Kancellár.hu IT-vezetője. Márpedig az előzmények ismerete és kiértékelése kulcsfontosságú a védekezés javítása szempontjából.
Egy helyen sok információ
Ha már gyűjti a szervezet a logokat, akkor azokat érdemes központilag tárolni és úgy elemezni. „A naplóállományok korrelációjával olyan összefüggéseket is feltárhatunk, amelyeket egy-egy logból nem tudnánk kinyerni. Adott logból kiderül, hogy egy felhasználó háromszor próbált sikertelenül belépni; de az már csak a többi állománnyal való összevetésből jön elő, hogy egy percen belül 200 különböző rendszerben próbálkozott sikertelenül, vagyis minden bizonnyal támadásról van szó”, hoz egy viszonylag egyszerű példát Zui.
| Jobb az angol nyelv
Számos vállalati rendszer (például a Windows szerverek) rendelkezik magyar nyelvű operációs rendszerrel. Tóth László „Zui” szerint azonban a naplóelemzés szempontjából jobb az angol verzió használata. Ez esetben ugyanis a (hiba)üzenetek is angol nyelvűek, és azokat sokkal könnyebb megtalálni a nagy mintaállományokban vagy az interneten, így a megoldás is hamarabb előáll, mintha magyar nyelvű kifejezéssel próbálkoznak. |
Értelemszerűen a központi naplógyűjtés akkor tudja betölteni hivatását, ha a belőle származó információkkal, riasztásokkal kezdenek is valamit. Az ehhez szükséges rendszerek és szakértők megvásárlása, foglalkoztatása azonban a kisebb vállalatok számára megfizethetetlen. Pedig a NIS2 miatt olyan vállalkozások százainak-ezreinek kell a naplógyűjtéssel és -elemzéssel (is) foglalkozniuk, amelyek számára az IT-biztonság eddig nem volt prioritás.
A NIS2 előírásai szerint
Rajtuk (is) segíthet a Kancellár.hu szolgáltatása, a távoli szolgáltatásként végzett naplóelemzés. A szolgáltatás bevezetése az ügyfél rendszereinek felmérésével kezdődik, megnézik, hogy melyekből érdemes összegyűjteni az eseményeket, és milyenek a naplózási beállítások. Az ügyfélnek igazából csak annyi dolga van, hogy a szolgáltatáshoz szükséges agenteket telepítse a rendszerekre. Arra a Kancellár.hu szakemberei figyelnek, hogy érzékeny üzleti adatokat ne gyűjtsenek és továbbítsanak az agentek.
A logok az agenteken keresztül a szolgáltató szervereire kerül – saját infrastruktúráról van szó, nem nyilvános felhőről, hangsúlyozza Zui. Ott kinyerik az állományokból az adatokat, azokat egységes formátumra hozzák, majd utána futtatják le rajtuk a minták felismerését végző korrelációs szabályokat. Ezekből ismerik fel a gyanús tevékenységekre utaló jeleket. Mindez teljesen automatizáltan zajlik, mint ahogy a feltételezhető incidensekről szóló riasztások és a rendszeres riportok elkészítése is automatikus.
A logelemző szolgáltatás odáig tart, hogy a riasztásokat meghatározott formátumban és csatornán megkapja az ügyfél. Az arra való reagálás, az incidensek kivizsgálása és az esetleges problémák elhárítása már az ügyfél feladata, illetve igény esetén külön szolgáltatás részét képezi. Azt viszont mindenképpen vállalja a Kancellár.hu, hogy a NIS2 által előírt naplózási követelményeket a szolgáltatás igénybe vételével teljesíteni tudják az ügyfelek.
