Evidencija i praćenjeLogging & Monitoring

Opis

Ne beleži se sve bez plana. Organizacija određuje koji događaji imaju vrednost, koliko dugo se čuvaju, gde se šalju i ko sme da ih menja. Zapis mora nastati pre incidenta da bi kasnije mogao da posluži istrazi.

Praćenje pomaže samo ako neko zna šta traži i reaguje na signal. Organizacija bez zapisa često ne može da kaže da nije kompromitovana, već samo da nema dokaz da jeste.

Šta se često čuje

• Ako se zapisi prikupljaju, pretnje se automatski otkrivaju.
• Sve to piše negde u zapisima.
• Čuvanje zapisa od tri meseca je uvek dovoljno.

Pokriva / ne pokriva

Pokriva

• Beleženje prijava, pristupa resursima i administrativnih radnji
• Praćenje promena konfiguracije, procesa i važnih objekata
• Čuvanje vremenskog toka događaja radi naknadne analize
• Osnovu za digitalnu forenziku i proveru toka incidenta

Ne pokriva

• Automatsko povezivanje događaja iz više izvora (to je SIEM)
• Sprečavanje napada u realnom vremenu
• Vidljivost u šifrovani mrežni sadržaj bez dodatnih alata
• Odluku da je događaj incident ako ga niko ne tumači